OpenVPN TLS rukovanje nije uspjelo: na kojoj ste grani?

Redak koji kaže da TLS rukovanje nije uspjelo kraj je priče, a ne njezin početak. Važan je događaj neposredno prije njega, jer taj događaj imenuje koja je od četiri vrlo različite greške kod vas. Istek vremena, neusklađenost kontrolnog kanala, odbijanje certifikata i neuspjeh nakon pregovaranja daju isti naslov. Odaberite granu prema dokazima i popravka prestaje biti nagađanje.

Pročitajte posljednji događaj prije neuspjeha

Pomaknite se gore umjesto da čitate posljednji redak. Događaj prije prekida obično imenuje fazu: nikakav odgovor, greška pri razmjeni kontrolnih paketa, rezultat provjere ili uspješno pregovaranje nakon kojeg slijedi ishod autentifikacije. Svaki od njih pripada drugom vlasniku. Taj jedan redak odlučuje koji se odjeljak ispod primjenjuje.

Spremite tekst greške s verzijom klijenta, krajnjom točkom i prijenosom. Držite ključeve, lozinke i neuređene profile izvan svega što javno zalijepite.

Točna prva greška vrijedi više od dugog izvatka dnevnika. Imenuje fazu, a faza imenuje vlasnika.

Grana prva: ništa se nije vratilo

Ako je klijent poslao svoj prvi paket i nije dobio ništa upotrebljivo, problem je na putu ili kod slušatelja. Potvrdite da profil odgovara opciji koju operater doista nudi: adresa, port i UDP ili TCP. Zatim provjerite je li krajnja točka uopće dostupna s ove mreže. Zabilježite koja od tih dviju provjera nije uspjela prije nego nastavite.

Preglednik koji učita stranicu na istom imenu hosta dokazuje samo da je web usluga odgovorila. Čak i prihvaćena TCP veza ne govori ništa o tome je li OpenVPN dovršio pregovaranje.

Ako profil radi na drugoj pouzdanoj mreži, zadržite tu usporedbu. Time ograničenje smještate na put ili posrednika.

Grana druga: kontrolni kanal se ne podudara

Kad razmjena počne pa stane, postavke kontrolnog kanala prvi su osumnjičeni. tls-auth i tls-crypt moraju odgovarati postavljanju, a materijal s drugog poslužitelja neće dati korisnu razmjenu. Taj se neuspjeh događa prije bilo kakve prijave na račun. Profil kopiran sa starijeg poslužitelja uobičajen je izvor.

Ponovno postavljanje lozinke ne zamjenjuje te postavke, a posuđivanje ključa s druge usluge nije popravak kompatibilnosti. Nabavite profil preko operaterovog provjerenog kanala i zabilježite verziju klijenta koju očekuje.

Zabilježite konkretnu grešku pregovaranja umjesto da uključite hrpu starijih algoritama da vidite što će se zadržati. Snimljeni tekst greške omogućuje operateru da provjeri svoju stranu.

Grana treća: certifikat je odbijen

Izričit neuspjeh provjere imenuje certifikat koji ne prihvaća. Prvo provjerite sat uređaja, zatim pročitajte koji objekt nije prošao: poslužiteljev certifikat, klijentski certifikat ili izdavatelj u lancu. Istek, nepouzdan izdavatelj i neočekivan identitet tri su različite poruke.

Držite provjeru uključenom dok nabavljate ispravljeni materijal. Prihvaćanje nepovezanog certifikata uklanja grešku bez dokaza da ste stigli do predviđenog poslužitelja.

Zabilježite slijedi li neuspjeh mrežu ili profil. Greška certifikata koja se pojavljuje posvuda nije problem puta.

Grana četvrta: pregovaranje je završilo, a nešto drugo nije uspjelo

Kad razmjena identiteta uspije, preostali neuspjeh pripada autentifikaciji ili usmjeravanju. Izričito odbijanje računa pitanje je autentifikacije, a povezani tunel s nedostupnim stranicama je pitanje usmjeravanja ili DNS-a. Nastavak zamjene TLS opcija u tom trenutku šteti fazi koja je već radila.

Kad prijavljujete problem, recite ne uspijeva li svaka mreža, radi li drugi profil i je li poslužitelj zabilježio pokušaj. Šutnja na strani poslužitelja i odbijanje s njegove strane stoje na različitim granicama.