Hatvan másodperces TLS-időtúllépés: melyik vég állt le valójában?

A kliens hatvan másodperc után feladja egy kulcsegyeztetésről szóló üzenettel, a laptop pedig nem mond véleményt az okról. Az a mondat a kliens türelmét írja le, nem a kiszolgáló viselkedését. Három teljesen különböző helyzet hozza létre: a csomag soha nem érte el a megfelelő szolgáltatást, a szolgáltatás eldobta, mielőtt bármit naplózott volna, vagy a szolgáltatás elutasította, és ezt olyan helyen mondta, ahol a kliens nem látja. Az egyetlen próbálkozás két végponton való összevetése az, ami elválasztja őket.

Adjon egy próbálkozásnak kereshető azonosítót

Jegyezze fel a kezdési időt az időzónájával, a profil nevét, a célt, amelyet a kliens ténylegesen feloldott, a portot, és azt, hogy a kapcsolat UDP vagy TCP. Ha a profil több távoli bejegyzést tartalmaz, jegyezze fel, melyiket választotta ez a próbálkozás, mert egy újabb próbálkozás átléphetett a következő bejegyzésre anélkül, hogy módosította volna az olvasott fájlt.

A végpontot az aktív naplóból vegye, ne az emlékezetében élő letöltésből. A privát címre mutató profil teljesen érvényes és teljesen használhatatlan olyan hálózatból, amely nem tud arra útvonalat adni, és ez az eset pontosan úgy néz ki, mint egy leállt kiszolgáló.

Ezután kérje meg az üzemeltetőt ugyanarra az időablakra a szándékolt példányon. Az óraeltérés elég gyakori ahhoz, hogy néhány perces eltérés miatt egy egyező esemény hiányzónak tűnjön, ezért jegyezze fel az eltérést ahelyett, hogy arra jutna, nem volt esemény.

Négy megfigyelés, négy különböző következő lépés

Amit a kiszolgáló rögzít, az dönti el az ágat. Bármilyen próbálkozás hiánya a címzésre, a szállításra vagy a szolgáltatáshoz vezető útra utal. A szokásos csere előtt eltűnő beérkező csomagok a tényleges szolgáltatás vezérlőcsatornájának követelményeire utalnak. A megnevezett elutasítás arra az objektumra utal, amelyet megnevez. A kiszolgálót elhagyó, de a klienst soha el nem érő válaszok a visszaútra utalnak.

Az üres alkalmazásnapló gyengébb bizonyíték, mint amilyennek látszik. A naplózás a csere egy bizonyos pontján kezdődik, és az e pont előtt eldobott csomagok nem hagynak nyomot az olvasott fájlban. Ahol ezt engedélyezik, az üzemeltető szolgáltatás- és hálózati megfigyelésekkel láthatja, hogy egyáltalán érkezett-e valami.

Tartsa külön a négy kimenetet a jegyzeteiben. A kísértés az, hogy „a kiszolgáló nem válaszol” felirattá olvassza őket, és éppen ez a kifejezés küldi az embereket titkosításváltásra, amikor a valódi probléma egy tűzfalszabály. Az a jegyzet, amely csak az időtúllépés szót rögzíti, eldobta azt a megkülönböztetést, amelyért éppen fizetett.

Javítsa a szakaszt, amelyet a bizonyíték megnevez

A létrejött TCP-kapcsolat csak azt bizonyítja, hogy valami elfogadott egy socketet. Nem bizonyítja, hogy a figyelő az Ön által beállított OpenVPN szolgáltatás, és egy ugyanazon a gazdanéven futó webkiszolgáló tökéletesen válaszol a böngészőnek, miközben a bújtatáshoz semmi köze.

Ha a kiszolgáló lejárt visszavonási listát jelent, az sokkal konkrétabb tény, mint a kliens végső időtúllépése, és a javítás a tanúsító hatósághoz tartozik, nem a hálózathoz. Ha a két vég nem ért egyet a vezérlőcsatorna védelmében vagy a megosztott anyagban, a jelszó visszaállítása semmit sem változtat, mert az eldobás még bármilyen hitelesítő adat vizsgálata előtt történik.

Változtasson egy dolgot, amelyet a bizonyíték tényleg alátámaszt, majd ismételje meg ugyanazt a profilt ugyanazon a végponton. Ha a kapcsolat tovább jut, őrizze meg az első új eseményt, mert az az esemény a vizsgálat következő szakasza, nem új probléma.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Mit változtat valójában az ablak meghosszabbítása

A hatvan másodperc a kliens kézfogási ablaka, és a közösségi kliensreferencia dokumentálja a beállítást, amely ezt módosítja. Emelése hosszabb várakozásra készteti a klienst, mielőtt feladná. Nem idézi elő egy hiányzó szolgáltatás megjelenését, és nem tesz elfogadhatóvá egy elutasított csomagot.

A hosszabb ablaknak van jogos használata lassú kapcsolat vagy erősen terhelt kiszolgáló esetén, és érdemes kipróbálni, ha bizonyítéka van arra, hogy a csere lassan halad, és nem arra, hogy egyáltalán nem történik. Elsőként kipróbálni csak ugyanazt a diagnózist késlelteti egy perccel, és nehezebben olvashatóvá teszi az idővonalat. Ha az idővonal azt mutatja, hogy a csere halad, majd megakad, az ablak a terhelés tünete, nem az elérhetőségé.