P_CONTROL_HARD_RESET_CLIENT_V2 erregistroan: errorea al da?

Lerroa segundo batzukero errepikatzen da eta denaren kausa dirudi: control hard reset izeneko pakete bat, inora iristen ez den bezero batetik datorrena. Ez da errore bat. Saio berri baten lehen mezua da, eta errepikapena aurrerago huts egiten ari den beste zerbaiten sintoma da. Etiketak esaten duena eta konexioak geroago egin zuena bereiztea da diagnosi osoa.

Opkodeak protokoloko posizio bat izendatzen du

OpenVPN hainbat pakete mota multiplexatzen ditu socket bakarrean, eta opkodeak hartzaileari esaten dio zein mota duen eskuan. Hard-reset paketeek saioa irekitzen dute, kontrol paketeek esku-emate materiala eramaten dute, berrespenek harrera berresten dute, eta datu paketeek tuneleko karga eramaten dute. Lehen bytea irakurtzeak esaten du non dagokion paketea trukaketa horretan, eta iturburu-kodeko pakete definizioek familia bakoitza berariaz izendatzen dute.

Hori da esaten duen guztia. Bezeroko hasierako reseta bezala etiketatutako paketeak frogatzen du paketea zure behaketa-puntura iritsi zela eta pareak saio bat hasi nahi duela. Ez du frogatzen bezeroak zure ziurtagirian konfiantza izan duenik, bere kredentzialak onartu direnik edo datu-kanal bat erabilgarri bihurtu denik inoiz.

V2 atzizkiak pakete familia horren protokolo belaunaldiaren marka da, ez produktu bertsio bat eta ez instalatzen duzun ezarpen bat. Izeneko ezerk ez du tunel bat berrezartzearekin, zerbitzu bat berrabiaraztearekin edo cache bat garbitzearekin zerikusirik.

Zer egiten duen bezeroak une horretan

Bezeroak saio identifikatzaile bat irekitzen du, eta bi aldeek hurrengo kontrol trafikoa harekin lotuko dute. Kontrol-kanalaren babesa konfiguratuta dagoenean, lehen pakete horrek jada HMAC-a darama, hartzaileari trukaketaren gainerakoan ahalegina egin behar duen erabakitzeko aukera ematen diona. Egiaztatu ezin duen hartzaile batek paketea isilean baztertzen du, eta horregatik gako partekatu okerra hutsunean hitz egiten ari den bezero baten itxura du.

Oraindik ez da erabiltzailearentzat ikusgairik gertatu. Ez da ziurtagiririk baliozkotu, ez da erabiltzaile-izenik eskaini eta ez da tunel helbiderik esleitu. Reseta esku-ematearen hitzaurrea da, beraz une honetako konexioari buruzko edozein judizio goiztiarra da.

Birkonexio-begizta inaktibo batean, xehetasun interesgarria tartea da. Ziklo finkoan aurrera egin gabe berriro saiatzen den bezeroa normalean aurrera egin aurretik ukatzen da, eta arrazoia parearen erregistroan dago, ez paketearen izenean.

Non ezkutatzen den benetako hutsegitea resetaren ondoren

Irakurri bi erregistroak elkarren ondoan eta aurkitu reseta ez den lehen gertaera. Bezeroan, ziurtagiriaren egiaztapeneko hutsegitea arrazoi zehatzarekin jakinarazten da: iraungitako ziurtagiria, izenen arteko desadostasuna edo igorle ezezaguna. Zerbitzarian, kredentzialen ukapena autentifikazio hutsegite gisa jakinarazten da, bere arrazoiarekin. Biak askoz zehatzagoak dira zerbitzariak saiakera berriei buruz duen ikuspegi errepikakorrak baino.

Pareka ezazu saiakera bat denbora-zigiluaren arabera, erregistro bakoitza isolatuta irakurri beharrean, hutsegite bera bi tokietan agertzen baita hitz eta larritasun ezberdinekin. Amaitzen duen pareak normalean zergatia adierazten du.

Bi alderdiek ukapenik jakinarazten ez badute eta trukaketak hala ere blokeatzen badu, muga irisgarritasuna da, ez konfiantza. Itzulera norabidea botatzen duen suebaki batek, mapaketa iraungitzen duen sare-helbideen itzulpenerako gailu batek edo esku-emate pakete handienak hiltzen dituen MTU arazo batek denek trukaketa blokeatua sortzen dute, autentifikazio errore bat ere gabe.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Bilaketa hori ez da diagnosi bat berez, baina protokoloaren hiztegitik benetako hutsegite klase batera eramaten zaitu urrats bakarrean.

Zergatik den egiaztapena desaktibatzea erreflexu okerra

Reseta agertzen jarraitzen duenean, itxuraz konponbide azkarrena ziurtagirien egiaztapena desaktibatzea edo kontrol-kanalaren babesa uztea da, zerbait konekta dadin. Horrek hutsegite diagnostikagarri bat diagnostikatu ezinezko beste baten truke aldatzen du, eta inplementazioak ukatzeko eraiki zen pareak onartzen uzten ditu.

Aldatu horren ordez benetan huts egin zuen muga. Konfiantza arazo bat ziurtagiri-agintaritzari eta hari erreferentzia egiten dion profileri dagokio. Denbora arazo bat erlojuari dagokio. Kredentzial arazo bat ukatu zuen autentifikazio backendari dagokio, eta pare iristezina bi ostalarien arteko bideari dagokio.

Opkodeak gauza baterako balio du laguntza-elkarrizketa batean: pareak saiatzeko adina urrun egin zuela esaten dizu. Geroago gertatu zena da jakin behar duzuna, eta lehen ukapen zehatza erregistratzen duen erregistroan dago idatzita. Hasi hor, eta reset lerroak kausa itxura izateari uzten dio eta denbora-zigilu itxura hartzen du.