OpenVPN: לחיצת היד של TLS נכשלה, באיזה ענף אתה?

השורה שאומרת שלחיצת היד של TLS נכשלה היא סוף של סיפור, לא ההתחלה שלו. מה שחשוב הוא האירוע שמיד לפניה, משום שאותו אירוע מציין איזו מארבע תקלות שונות מאוד יש לכם. פסק זמן, אי־התאמה בערוץ הבקרה, דחיית תעודה וכשל אחרי המשא ומתן מייצרים את אותה כותרת. בחרו את הענף לפי הראיות, והתיקון מפסיק להיות ניחוש.

קראו את האירוע האחרון לפני הכשל

גללו למעלה במקום לקרוא את השורה האחרונה. האירוע שלפני הניתוק מציין בדרך כלל את השלב: אין תגובה כלל, שגיאה בזמן החלפת מנות הבקרה, תוצאת אימות, או משא ומתן מוצלח שאחריו תוצאת אימות זהות. כל אחד מהם שייך לבעל אחר. אותה שורה אחת קובעת איזה סעיף למטה חל.

שמרו את טקסט השגיאה עם גרסת הלקוח, נקודת הקצה והתעבורה. הרחיקו מפתחות, סיסמאות ופרופילים לא מסוננים מכל דבר שאתם מדביקים בפומבי.

שגיאה ראשונה מדויקת שווה יותר מקטע יומן ארוך. היא מציינת את השלב, והשלב מציין את הבעל.

ענף ראשון: שום דבר לא חזר

אם הלקוח שלח את החבילה הראשונה ולא קיבל דבר שמיש, הבעיה היא בנתיב או אצל המאזין. ודאו שהפרופיל תואם לאפשרות שהמפעיל באמת מציע: כתובת, פורט ו־UDP או TCP. לאחר מכן בדקו אם נקודת הקצה נגישה בכלל מהרשת הזו. ציינו איזו משתי הבדיקות נכשלה לפני שתמשיכו.

דפדפן שטוען דף באותו שם מארח מוכיח רק ששירות אינטרנט ענה. אפילו חיבור TCP שהתקבל לא אומר דבר על האם OpenVPN סיים את המשא ומתן.

אם הפרופיל עובד ברשת מהימנה אחרת, שמרו את ההשוואה הזו. היא ממקמת את ההגבלה בנתיב או במתווך.

ענף שני: ערוץ הבקרה אינו תואם

כשההחלפה מתחילה ואז נתקעת, הגדרות ערוץ הבקרה הן החשוד הראשון. tls-auth ו־tls-crypt חייבים להתאים לפריסה, וחומר משרת אחר לא יפיק החלפה שימושית. הכשל הזה מתרחש לפני כל התחברות לחשבון. פרופיל שהועתק משרת ישן יותר הוא המקור הרגיל.

איפוס סיסמה אינו מחליף את ההגדרות האלה, והשאלת מפתח משירות אחר אינה תיקון תאימות. השיגו את הפרופיל דרך הערוץ המאומת של המפעיל וציינו את גרסת הלקוח שהוא מצפה לה.

רשמו את שגיאת המשא ומתן הספציפית במקום להפעיל ערימה של אלגוריתמים ישנים כדי לראות מה מחזיק. טקסט שגיאה שנלכד הוא מה שמאפשר למפעיל לבדוק את הצד שלו.

ענף שלישי: תעודה נדחתה

כשל אימות מפורש מציין את התעודה שאינה מוצאת חן בעיניו. בדקו קודם את שעון המכשיר ואז קראו איזה אובייקט נכשל: תעודת השרת, תעודת הלקוח, או מנפיק בשרשרת. תפוגה, מנפיק לא מהימן וזהות בלתי צפויה הם שלושה מסרים שונים.

השאירו את האימות פעיל בזמן שאתם משיגים חומר מתוקן. קבלת תעודה לא קשורה מסלקת את השגיאה בלי להוכיח שהגעתם לשרת המיועד.

ציינו אם הכשל עוקב אחרי הרשת או אחרי הפרופיל. שגיאת תעודה שמופיעה בכל מקום אינה בעיית נתיב.

ענף רביעי: המשא ומתן הסתיים ומשהו אחר נכשל

לאחר שהחלפת הזהות מצליחה, הכשל שנותר שייך לאימות זהות או לניתוב. דחייה מפורשת של חשבון היא שאלת אימות, ומנהרה מחוברת עם אתרים לא נגישים היא שאלה של ניתוב או DNS. המשך החלפת אפשרויות TLS בנקודה הזו פוגע בשלב שכבר עבד.

כשאתם מדווחים על הבעיה, אמרו אם כל הרשתות נכשלות, אם פרופיל אחר עובד והאם השרת רשם את הניסיון. שתיקה בצד השרת ודחייה ממנו עומדות בגבולות שונים.