OpenVPN TLS-hânskieding mislearre: op hokker tûke stea jo?

De rigel dy't seit dat de TLS-hânskieding mislearre is, is it ein fan in ferhaal, net it begjin. Wat telt is it barren krekt dêrfoar, want dat barren neamt hokker fan fjouwer hiel ferskate flaters jo hawwe. In time-out, in net oerienkommend kontrôlekanaal, in wegere sertifikaat en in flater nei de ûnderhanneling jouwe allegear deselde kop. Kies de tûke op grûn fan it bewiis, en de reparaasje is gjin gissing mear.

Lês it lêste barren foar de flater

Skrol omheech ynstee fan de lêste rigel te lêzen. It barren foar de ferbining neamt meastentiids de faze: hielendal gjin antwurd, in flater by it útwikseljen fan kontrôlepakketten, in ferifikaasje-resultaat, of in slagge ûnderhanneling folge troch in autentikaasje-resultaat. Elk fan dy heart by in oare eigner. Dy iene rigel beslút hokker seksje hjirûnder jildt.

Bewarje de flatertekst mei de kliïntferzje, it einpunt en it ferfier. Hâld kaaien, wachtwurden en net-redigearre profilen bûten alles dat jo iepenbier plakke.

In krekte earste flater is mear wurdich as in lang logfragmint. It neamt de faze, en de faze neamt de eigner.

Tûke ien: der kaam neat werom

As de kliïnt syn earste pakket stjoerd hat en neat brûkbers ûntfong, is it probleem op it paad of by de listener. Befêstigje dat it profyl oerienkomt mei in opsje dy't de operator echt biedt: adres, poarte en UDP of TCP. Kontrolearje dan oft it einpunt hielendal berikber is fan dit netwurk. Notearje hokker fan dy twa kontrôles mislearre foardat jo fierder geane.

In browser dy't in side ladt op deselde hostnamme bewiist allinnich dat in webservice antwurde. Sels in akseptearre TCP-ferbining seit neat oer oft OpenVPN de ûnderhanneling foltôge hat.

As it profyl op in oar fertroude netwurk wurket, hâld dy ferliking. It lokaliseart de beheining op in paad of in tuskenpersoan.

Tûke twa: it kontrôlekanaal komt net oerien

As de útwikseling begjint en dan stûket, binne de ynstellings fan it kontrôlekanaal de earste fertochte. tls-auth en tls-crypt moatte by de útrôlje passe, en materiaal fan in oare tsjinner sil gjin brûkbere útwikseling jaan. Dizze flater bart foar elke account-oanmelding. In profyl dat fan in âldere tsjinner kopyeare is, is de gewoane boarne.

In wachtwurd-reset ferfangt dy ynstellings net, en in kaai fan in oare tsjinst liene is gjin kompatibiliteitsreparaasje. Krij it profyl fia it ferifiearre kanaal fan de operator en notearje de kliïntferzje dy't it ferwachtet.

Notearje de spesifike ûnderhannelingsflater ynstee fan in heap âldere algoritmen oan te setten om te sjen wat hâldt. In fêstleine flatertekst is wat de operator syn kant kontrolearje lit.

Tûke trije: in sertifikaat waard wegere

In eksplisite ferifikaasjeflater neamt it sertifikaat dat it net lije mei. Kontrolearje earst de klok fan it apparaat en lês dan hokker objekt mislearre: it tsjinner-sertifikaat, it kliïnt-sertifikaat of in útjouwer yn 'e keatling. Ferrin, in net fertroude útjouwer en in ûnferwachte identiteit binne trije ferskate berjochten.

Hâld de ferifikaasje ynskeakele wylst jo korrizjearre materiaal krije. In net besibbe sertifikaat akseptearje hellet de flater fuort sûnder te bewizen dat jo de bedoelde tsjinner berikke.

Notearje oft de flater it netwurk as it profyl folget. In sertifikaatflater dy't oeral ferskynt is gjin paadprobleem.

Tûke fjouwer: de ûnderhanneling wie klear en wat oars mislearre

Sadree't de identiteitsútwikseling slagget, heart de oerbleaune flater by autentikaasje of by routing. In eksplisite account-ôfwizing is in autentikaasjefraach, en in ferbûne tunnel mei ûnberikbere siden is in routing- of DNS-fraach. Trochgean mei it ferfangen fan TLS-opsjes skeadet op dat punt in faze dy't al wurke.

As jo it probleem rapportearje, sis dan oft elk netwurk mislearret, oft in oar profyl wurket en oft de tsjinner it besykjen fêstlein hat. Stilte oan 'e tsjinnerkant en in ôfwizing fan dêr lizze op ferskate grinzen.