Kuuekümne sekundi pikkune TLS-i aegumine: kumb ots tegelikult lõpetas?

Klient annab kuuekümne sekundi järel alla teatega võtme läbirääkimise kohta ja sülearvuti ei ütle, miks. See lause kirjeldab kliendi kannatlikkust, mitte serveri käitumist. Selle tekitavad kolm täiesti erinevat olukorda: pakett ei jõudnud kunagi õigesse teenusesse, teenus heitis selle kõrvale enne millegi logimist või teenus lükkas selle tagasi ja ütles seda kuskil, kus klient ei näe. Just ühe katse korreleerimine mõlemas otsas eristab neid.

Andke ühele katsele identiteet, mida saate otsida

Kirjutage üles algusaeg koos ajavööndiga, profiili nimi, sihtkoht, mille klient tegelikult lahendas, port ja see, kas ühendus on UDP või TCP. Kui profiilis on mitu kaugkirjet, märkige, millise selle katse valis, sest korduskatse võis liikuda järgmisele kirjele ilma teie loetavat faili muutmata.

Võtke lõpp-punkt aktiivsest logist, mitte allalaadimisest, mida mäletate. Privaatsele aadressile osutav profiil on täiesti kehtiv ja täiesti kasutuskõlbmatu võrgust, mis ei saa sinna marsruutida, ja see juhtum näeb välja täpselt nagu maas server.

Seejärel paluge operaatoril sama ajavahemikku kavandatud eksemplaris. Kellade erinevus on piisavalt tavaline, et mõneminutiline nihe võib muuta sobiva sündmuse näiliseks puudujäägiks, seega kirjutage nihe üles, selle asemel et järeldada, et sündmust ei olnud.

Neli tähelepanekut, neli erinevat järgmist sammu

See, mida server salvestab, määrab haru. Ühegi katse puudumine osutab adresseerimisele, transpordile või teele teenuseni. Saabuvad paketid, mis kaovad enne tavalist vahetust, osutavad tegeliku teenuse juhtkanali nõuetele. Nimega keeldumine osutab objektile, millele see nime annab. Vastused, mis lahkuvad serverist, kuid ei jõua kunagi kliendini, osutavad tagasiteele.

Tühi rakenduselog on nõrgem tõend, kui see paistab. Logimine algab vahetuse teatud punktis ja enne seda punkti kõrvale heidetud paketid ei jäta teie loetavasse faili ühtegi jälge. Kus see on lubatud, saab operaator teenuse- ja võrgutähelepanekute abil näha, kas midagi üldse saabus.

Hoidke neli tulemust märkmetes eraldi. Kiusatus on need kokku sulatada lauseks „server ei vasta“, ja just see lause saadab inimesi šifreid vahetama, kui tegelik probleem on tulemüürireegel. Märge, mis salvestab ainult sõna aegumine, on ära visanud eristuse, mille eest te äsja maksite.

Parandage see etapp, mille tõendid nimetavad

Lõpuleviidud TCP-ühendus tõestab ainult seda, et miski võttis pesa vastu. See ei tõesta, et kuulaja on teie seadistatud OpenVPN teenus, ja veebiserver samal hostinimel vastab brauserile suurepäraselt, olles samal ajal tunnelile tähtsusetu.

Kui server teatab aegunud tühistamisnimekirjast, on see palju täpsem fakt kui kliendi lõplik aegumine, ja parandus kuulub sertifitseerimisasutusele, mitte võrgule. Kui kaks otsa ei ole ühel meelel juhtkanali kaitse või ühise materjali osas, ei muuda parooli lähtestamine midagi, sest kõrvaleheitmine toimub enne mis tahes volituse kontrollimist.

Muutke ühte asja, mida tõendid tõesti toetavad, ja korrake seejärel sama profiili sama lõpp-punkti vastu. Kui ühendus jõuab kaugemale, säilitage esimene uus sündmus, sest see sündmus on uurimise järgmine etapp, mitte uus probleem.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Mida akna pikendamine tegelikult muudab

Kuuskümmend sekundit on kliendi käepigistuse aken ja kogukonna kliendiviide dokumenteerib valiku, mis seda reguleerib. Selle suurendamine paneb kliendi kauem ootama, enne kui alla annab. See ei pane puuduvat teenust ilmuma ega muuda tagasilükatud paketti vastuvõetavaks.

Pikemal aknal on õiguspärane kasutus aeglasel lingil või tugevalt koormatud serveris ja seda tasub proovida, kui teil on tõendid, et vahetus edeneb aeglaselt, mitte ei toimu üldse. Selle esimesena proovimine lükkab sama diagnoosi lihtsalt veel minuti võrra edasi ja teeb ajajoone raskemini loetavaks. Kui ajajoon näitab vahetust, mis edeneb ja siis seiskub, on aken koormuse, mitte kättesaadavuse sümptom.