Ukatutako konexioa ez da ziurtagiriaren arazoa: VPN gida

Bezeroak dio konexioa ukatu zela CRL birsortu eta berehala, beraz CRL erruduna dirudi. Ez da. Ukoa garraio-geruzaren erantzuna da, eta ziurtagiriaren baliozkotzea geroago gertatzen da, tunelaren esku-ematearen barruan. Denbora bat etortzea testuingurua da, ez froga.

Bi egiaztapenek minutu bat baino gutxiagotan bereizten dituzte kasuak, eta bietako batek ere ez du konfiantza-ezarpenik ukitzen.

Irakurri errorea sortu duen geruzan

connect-etik datorren ECONNREFUSED batek garraio-saialdia ukatu dela esan nahi du: zerbait reset batekin erantzun du, edo pilak iristezin den portu bat jakinarazi du. Ziurtagiri-arazo batek ezin du errore hori sortu, TLS esku-ematea ez baita inoiz hasten garraio-konexiorik gabe. Ukoa ikusten baduzu, bezeroak ez zuen inoiz ziurtagiririk aurkezteko adina urrats egin. Gertaera bakar horrek errebokazioa kausa gisa baztertzen du.

Alderantzizkoa ere betetzen da. Errebokatutako ziurtagiri batek osatutako TCP konexioa eta huts egindako esku-ematea sortzen ditu, zerbitzarian egiaztatze-errore gisa erregistratzen dena.

TCP ukoa: inor ez dago entzuten

TCPrako, egiazta ezazu aurreikusitako instantzia martxan dagoen eta profileko helbide eta portuari lotuta dagoen. ss -lntp-k entzuleak erakusten ditu, eta horietako bat ez egotea da ohiko azalpena. Baztertu beharrean ukatzen duen suebaki batek bezeroaren aldean mezu bera sortzen du, horregatik egiaztatzen dituzu biak.

Egiaztatu helbide-familia ere. 127.0.0.1 edo IPv6 soilik lotutako zerbitzu batek beste helbidera ebazten den bezeroa ukatuko du.

Ondoren irakurri zerbitzuaren erregistroa asmatu beharrean. CA mantentze-lanaren ondorengo berrabiarazteak huts egin dezake irakurtezin edo falta den fitxategi batean eta ez iritsi inoiz entzute-egoerara, eta erregistroak fitxategiaren izena aipatzen du. Hori abiarazte-hutsegitea da, ukatutako ziurtagiri batetik desberdina den errorea.

UDPk ez du ukatzeko esku-ematerik

OpenVPN UDP bidez ez du TCP zentzuan konexiorik ezartzen, beraz ez dago ezer ukatzeko connect unean. Linuxen, UDP socket batek erakusten duen errorea aurretiko datagrama batek sortutako ICMP port-unreachable batetik etor daiteke. udp(7) man-orriak asinkrono jokaera hori deskribatzen du.

Horregatik UDP bezero batek ukoa inprimatu dezake zerbitzariaren prozesua martxan dagoen bitartean, baina espero den helbidera lotuta ez dagoenean.

Non egiaztatzen da CRL bat benetan

CRL-a TLS esku-ematean kontsultatzen da, beste alderdiak bere ziurtagiria aurkeztu ondoren, eta zerbitzariaren konfigurazioak baimena ematen badu bakarrik. OpenVPNren crl-verify aukerak fitxategira seinalatzen du, eta huts egitea zerbitzariaren erregistroan agertzen da ziurtagiria izendatzen duen egiaztatze-errore gisa.

Beraz, errebokatutako bezero bat garraio-geruzan konektatzen da eta gero autentifikazioan huts egiten du. Zerbitzari bera, portu bera, erabat desberdina den mezua.

Egiaztatu CRLaren igorlea eta baliozkotasun-data fase horretara iristen zarenean. CA oker batek sinatutako CRL batek, edo bezeroa konektatu aurretik iraungi zen batek, egiaztatze-erroreak sortzen ditu, bezeroaren bere ziurtagiriarekin zerikusirik ez dutenak.

Gida laburra hurrengo alderako

Egiaztatu lehenik garraioa: entzulea badago, helbide-familia zuzena, suebakiak ez du ukatzen. Ondoren egiaztatu zerbitzuak entzute-egoera lortu duela abiarazte-erregistroa irakurriz. Eta orduan, eta bakarrik orduan, begiratu esku-emate-erroreak egiaztatze-mezuen bila. Mantendu ordena hori finko, urrats bakoitzak kausen klase oso bat ezabatzen baitu.

Idatz itzazu garraioa, ebatzitako helmuga, portua eta errorearen testu zehatza. Bezeroa berriz instalatzeak froga hori suntsitzen du eta normalean ez du ezer aldatzen.