Kuudenkymmenen sekunnin TLS-aikakatkaisu: kumpi pää oikeastaan pysähtyi?

Asiakas luovuttaa kuudenkymmenen sekunnin jälkeen avainneuvottelua koskevalla viestillä, eikä kannettava esitä mielipidettä syystä. Se lause kuvaa asiakkaan kärsivällisyyttä, ei palvelimen käyttäytymistä. Sen synnyttää kolme täysin erilaista tilannetta: paketti ei koskaan saavuttanut oikeaa palvelua, palvelu hylkäsi sen ennen minkään kirjaamista tai palvelu torjui sen ja kertoi siitä jossain, missä asiakas ei näe. Yhden yrityksen korrelointi molemmissa päissä on se, mikä erottaa ne.

Anna yhdelle yritykselle identiteetti, jota voit etsiä

Kirjaa alkuaika aikavyöhykkeineen, profiilin nimi, kohde, jonka asiakas todella ratkaisi, portti ja se, onko yhteys UDP vai TCP. Jos profiilissa on useita etämerkintöjä, merkitse, minkä tämä yritys valitsi, sillä uusi yritys on voinut siirtyä seuraavaan merkintään muuttamatta tiedostoa, jota luet.

Ota päätepiste aktiivisesta lokista, älä muistamastasi latauksesta. Yksityiseen osoitteeseen osoittava profiili on täysin kelvollinen ja täysin käyttökelvoton verkosta, joka ei voi reitittää sinne, ja tämä tapaus näyttää samalta kuin palvelin, joka on alhaalla.

Pyydä sitten operaattorilta sama aikaikkuna aiotussa instanssissa. Kellonheitto on riittävän yleistä, että muutaman minuutin ero voi saada sopivan tapahtuman näyttämään puuttuvalta, joten kirjaa ero sen sijaan, että päättelet, ettei tapahtumaa ollut.

Neljä havaintoa, neljä erilaista seuraavaa askelta

Se, mitä palvelin tallentaa, ratkaisee haaran. Minkään yrityksen puuttuminen viittaa osoitteistukseen, kuljetukseen tai reittiin palveluun. Saapuvat paketit, jotka katoavat ennen tavallista vaihtoa, viittaavat varsinaisen palvelun ohjauskanavan vaatimuksiin. Nimetty torjunta viittaa objektiin, jonka se nimeää. Vastaukset, jotka lähtevät palvelimelta mutta eivät koskaan saavuta asiakasta, viittaavat paluureittiin.

Tyhjä sovellusloki on heikompi todiste kuin miltä näyttää. Kirjaus alkaa vaihdon tietystä kohdasta, ja ennen sitä kohtaa hylätyt paketit eivät jätä jälkeä lukemaasi tiedostoon. Missä se on sallittua, operaattori voi käyttää palvelu- ja verkkohavaintoja nähdäkseen, saapuiko mitään ylipäätään.

Pidä neljä lopputulosta erillään muistiinpanoissasi. Houkutus on sulattaa ne muotoon »palvelin ei vastaa«, ja juuri se lause saa ihmiset vaihtamaan salakirjoituksia, kun todellinen ongelma on palomuurisääntö. Muistiinpano, joka tallentaa vain sanan aikakatkaisu, on heittänyt pois erottelun, josta juuri maksoit.

Korjaa se vaihe, jonka todisteet nimeävät

Valmistunut TCP-yhteys todistaa vain, että jokin otti vastaan pistokkeen. Se ei todista, että kuuntelija on määrittämäsi OpenVPN-palvelu, ja samannimisessä isäntänimessä oleva verkkopalvelin vastaa selaimelle täydellisesti samalla kun se on tunnelille merkityksetön.

Jos palvelin ilmoittaa vanhentuneesta mitätöintilistasta, se on paljon täsmällisempi tosiasia kuin asiakkaan lopullinen aikakatkaisu, ja korjaus kuuluu varmentajalle eikä verkolle. Jos kaksi päätä ovat eri mieltä ohjauskanavan suojauksesta tai yhteisestä materiaalista, salasanan nollaus ei muuta mitään, koska hylkäys tapahtuu ennen minkään tunnistetiedon tutkimista.

Muuta yhtä asiaa, jota todisteet todella tukevat, ja toista sitten sama profiili samaa päätepistettä vastaan. Säilytä ensimmäinen uusi tapahtuma, jos yhteys etenee pidemmälle, sillä se tapahtuma on tutkinnan seuraava vaihe, ei uusi ongelma.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Mitä ikkunan pidentäminen oikeastaan muuttaa

Kuusikymmentä sekuntia on asiakkaan kättelyikkuna, ja yhteisön asiakasviite dokumentoi vaihtoehdon, joka säätää sitä. Sen nostaminen saa asiakkaan odottamaan pidempään ennen luovuttamista. Se ei saa puuttuvaa palvelua ilmestymään eikä tee torjutusta paketista hyväksyttävää.

Pidemmällä ikkunalla on laillinen käyttö hitaalla linkillä tai raskaasti kuormitetulla palvelimella, ja sitä kannattaa kokeilla, kun sinulla on todisteita siitä, että vaihto etenee hitaasti eikä jää tapahtumatta. Sen kokeileminen ensin vain viivästyttää samaa diagnoosia vielä minuutilla ja tekee aikajanasta vaikeammin luettavan. Jos aikajana näyttää vaihdon, joka etenee ja sitten pysähtyy, ikkuna on kuormituksen eikä tavoitettavuuden oire.