TLS-tiidlimit fan sechstich sekonden: hokker kant stoppe eins?

De kliïnt jout nei sechstich sekonden op mei in berjocht oer kaaiûnderhanneling, en de laptop sprekt gjin miening út oer wêrom. Dy sin beskriuwt it geduld fan 'e kliïnt, net it hâlden en dragen fan 'e tsjinner. Trije hiel ferskillende situaasjes meitsje it: it pakket berikte nea de juste tsjinst, de tsjinst smiet it fuort foardat it wat logge, of de tsjinst wiisde it ôf en sei dat earne dêr't de kliïnt it net sjen kin. It korrearjen fan ien besykjen oan beide kanten is wat se skiedt.

Jou ien besykjen in identiteit dêr't jo op sykje kinne

Skriuw de begjintiid mei syn tiidsône op, de profylnamme, de bestimming dy't de kliïnt eins oploste, de poarte, en oft de ferbining UDP of TCP is. As it profyl ferskate ôfstânsynfieringen hat, skriuw dan op hokker dy besykjen keas, want in nij besykjen kin nei de folgjende ynfiering ferhuze wêze sûnder it bestân te feroarjen dat jo lêze.

Nim it einpunt út it aktive logboek, net út 'e download dy't jo ûnthâlde. In profyl dat nei in privee-adres wiist is folslein jildich en folslein ûnbrûkber fan in netwurk dat dêr net hinne routearje kin, en dat gefal liket krekt as in tsjinner dy't del is.

Freegje de operator dan om itselde finster op 'e bedoelde eksimplaar. Klokôfwiking is gewoan genôch dat in ferskil fan in pear minuten in oerienkommend evenemint ôfwêzich lykje lit, dus skriuw de ôfwiking op ynstee fan te konkludearjen dat der gjin evenemint wie.

Fjouwer waarnimmings, fjouwer ferskillende folgjende stappen

Wat de tsjinner registrearret, bepaalt de tûke. It ûntbrekken fan hokker besykjen dan ek wiist op adressearring, ferfier of it paad nei de tsjinst. Ynkommende pakketten dy't ferdwine foar in gewoane útwikseling wize op 'e easken fan it kontrolkanaal fan 'e werklike tsjinst. In neamd ôfwizing wiist op it objekt dat it neamt. Antwurden dy't de tsjinner ferlitte mar nea de kliïnt berikke, wize op it werompaad.

In leech applikaasjelogboek is swakker bewiis as it liket. Logging begjint op in beskaat punt yn 'e útwikseling, en pakketten dy't foar dat punt fuortgoaid wurde litte gjin spoar efter yn it bestân dat jo lêze. Wêr't it tastien is, kin de operator tsjinst- en netwurkwaarnimmings brûke om te sjen oft der oait wat oankaam.

Hâld de fjouwer útkomsten apart yn jo notysjes. De ferlieding is om se gear te smelten ta «tsjinner antwurdet net», en dat is de sin dy't minsken oanfierret om sifers te feroarjen as it echte probleem in firewallregel is. In notysje dy't allinnich it wurd tiidlimit fêstleit, hat it ûnderskie fuortgoaid dat jo krekt betelle hawwe.

Reparearje de faze dy't it bewiis neamt

In foltôge TCP-ferbining bewiist allinnich dat wat in socket akseptearre hat. It bewiist net dat de listener de OpenVPN-tsjinst is dy't jo konfigurearre hawwe, en in webserver op deselde hostnamme antwurdet in browser perfekt wylst er foar de tunnel net relevant is.

As de tsjinner in ferrûne yntreklingslist rapportearret, is dat in folle spesifiker feit as de úteinlike tiidlimit fan 'e kliïnt, en de oplossing heart by de sertifikaasje-autoriteit en net by it netwurk. As de beide kanten it net iens binne oer de beskerming fan it kontrolkanaal of oer mienskiplik materiaal, feroaret it weromsetten fan in wachtwurd neat, want it fuortgoaien bart foardat hokker bewiis dan ek ûndersocht wurdt.

Feroarje ien ding dat it bewiis wier stipet, en werhelje dan itselde profyl tsjin itselde einpunt. Bewarje it earste nije evenemint as de ferbining fierder komt, want dat evenemint is de folgjende faze fan it ûndersyk, net in nij probleem.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Wat it ferlingjen fan it finster eins feroaret

Sechstich sekonden is it hânskodzjenfinster fan 'e kliïnt, en de mienskiplike kliïntferwizing dokumintearret de opsje dy't it oanpast. It ferheegjen lit de kliïnt langer wachtsje foardat er opjout. It lit gjin ôfwêzige tsjinst ferskine en it makket in ôfwiisd pakket net akseptabel.

D'r is in legitime gebrûk foar in langer finster op in stadige keppeling of in swier belêste tsjinner, en it is de muoite wurdich om it te besykjen as jo bewiis hawwe dat de útwikseling stadich foarút giet ynstee fan hielendal net te barren. It earst besykjen fertraget gewoan deselde diagnoaze mei noch in minút en makket de tiidline dreger te lêzen. As de tiidline in útwikseling sjen lit dy't foarút giet en dan stilstiet, is it finster in symptoom fan lêst en net fan berikberens.