OpenVPN:n TLS-kättely epäonnistui: millä haaralla olet?

Rivi, joka kertoo TLS-kättelyn epäonnistuneen, on tarinan loppu, ei sen alku. Ratkaisevaa on tapahtuma välittömästi sitä ennen, sillä se nimeää, mikä neljästä hyvin erilaisesta viasta sinulla on. Aikakatkaisu, ohjauskanavan yhteensopimattomuus, varmenteen hylkäys ja neuvottelun jälkeinen vika tuottavat kaikki saman otsikon. Valitse haara todisteiden perusteella, niin korjaus ei ole enää arvaus.

Lue viimeinen tapahtuma ennen vikaa

Vieritä ylös sen sijaan, että lukisit viimeisen rivin. Yhteyden katkeamista edeltävä tapahtuma nimeää yleensä vaiheen: ei vastausta lainkaan, virhe ohjauspakettien vaihdossa, tarkistuksen tulos tai onnistunut neuvottelu, jota seuraa todennuksen tulos. Jokainen niistä kuuluu eri omistajalle. Juuri se yksi rivi ratkaisee, mitä alla olevaa osiota sovelletaan.

Tallenna virheteksti asiakasversion, päätepisteen ja kuljetuksen kanssa. Pidä avaimet, salasanat ja muokkaamattomat profiilit poissa kaikesta, mitä liität julkisesti.

Tarkka ensimmäinen virhe on arvokkaampi kuin pitkä lokikatkelma. Se nimeää vaiheen, ja vaihe nimeää omistajan.

Haara yksi: mitään ei tullut takaisin

Jos asiakas lähetti ensimmäisen pakettinsa eikä saanut mitään käyttökelpoista, ongelma on reitillä tai kuuntelijassa. Varmista, että profiili vastaa vaihtoehtoa, jota operaattori todella tarjoaa: osoite, portti ja UDP tai TCP. Tarkista sitten, onko päätepiste ylipäätään tavoitettavissa tästä verkosta. Merkitse muistiin, kumpi näistä kahdesta tarkistuksesta epäonnistui, ennen kuin jatkat.

Selain, joka lataa sivun samalla isäntänimellä, todistaa vain, että verkkopalvelu vastasi. Hyväksytty TCP-yhteys ei kerro mitään siitä, onko OpenVPN saanut neuvottelun valmiiksi.

Jos profiili toimii toisessa luotetussa verkossa, säilytä tämä vertailu. Se paikantaa rajoituksen reitille tai välittäjälle.

Haara kaksi: ohjauskanava ei täsmää

Kun vaihto alkaa ja pysähtyy sitten, ohjauskanavan asetukset ovat ensimmäinen epäilty. tls-auth ja tls-crypt on sovitettava käyttöönottoon, eikä toisesta palvelimesta peräisin oleva materiaali tuota hyödyllistä vaihtoa. Tämä vika ilmenee ennen mitään tilikirjautumista. Vanhemmasta palvelimesta kopioitu profiili on tavallinen lähde.

Salasanan nollaus ei korvaa näitä asetuksia, eikä avaimen lainaaminen toisesta palvelusta ole yhteensopivuuskorjaus. Hanki profiili operaattorin vahvistetun kanavan kautta ja merkitse muistiin sen odottama asiakasversio.

Kirjaa tarkka neuvotteluvirhe sen sijaan, että ottaisit käyttöön joukon vanhempia algoritmeja nähdäksesi, mikä pitää. Tallennettu virheteksti on se, mikä antaa operaattorille mahdollisuuden tarkistaa oma puolensa.

Haara kolme: varmenne hylättiin

Selkeä tarkistusvika nimeää varmenteen, josta se ei pidä. Tarkista ensin laitteen kello ja lue sitten, mikä objekti epäonnistui: palvelimen varmenne, asiakkaan varmenne tai ketjun myöntäjä. Vanheneminen, ei-luotettava myöntäjä ja odottamaton identiteetti ovat kolme eri viestiä.

Pidä tarkistus päällä, kun hankit korjattua materiaalia. Asiaankuulumattoman varmenteen hyväksyminen poistaa virheen todistamatta, että saavutit aiotun palvelimen.

Merkitse, seuraako vika verkkoa vai profiilia. Kaikkialla esiintyvä varmennevirhe ei ole reittiongelma.

Haara neljä: neuvottelu päättyi ja jotain muuta epäonnistui

Kun identiteettivaihto onnistuu, jäljellä oleva vika kuuluu todennukseen tai reititykseen. Selkeä tilin hylkäys on todennuskysymys, ja yhdistetty tunneli, jonka sivustot eivät ole tavoitettavissa, on reititys- tai DNS-kysymys. TLS-vaihtoehtojen vaihtamisen jatkaminen siinä vaiheessa vahingoittaa vaihetta, joka jo toimi.

Kun raportoit ongelman, kerro, epäonnistuvatko kaikki verkot, toimiiko toinen profiili ja kirjasiko palvelin yrityksen. Hiljaisuus palvelimen puolella ja sieltä tullut hylkäys ovat eri rajoilla.