Handshake TLS OpenVPN gagal: di cabang mana Anda?

Baris yang menyatakan handshake TLS gagal adalah akhir sebuah cerita, bukan awalnya. Yang penting adalah peristiwa tepat sebelumnya, karena peristiwa itu menyebutkan mana dari empat kesalahan yang sangat berbeda yang Anda alami. Waktu tunggu, ketidakcocokan kanal kontrol, penolakan sertifikat, dan kegagalan setelah negosiasi semuanya menghasilkan judul yang sama. Pilih cabang berdasarkan bukti, dan perbaikan tidak lagi menjadi tebakan.

Baca peristiwa terakhir sebelum kegagalan

Gulir ke atas alih-alih membaca baris terakhir. Peristiwa sebelum pemutusan biasanya menyebutkan tahapnya: tidak ada balasan sama sekali, kesalahan saat menukar paket kontrol, hasil verifikasi, atau negosiasi berhasil yang diikuti hasil autentikasi. Masing-masing milik pemilik yang berbeda. Satu baris itulah yang menentukan bagian mana di bawah yang berlaku.

Simpan teks kesalahan bersama versi klien, titik akhir, dan transport. Jauhkan kunci, kata sandi, dan profil yang belum disunting dari apa pun yang Anda tempelkan di publik.

Kesalahan pertama yang tepat lebih berharga daripada kutipan log yang panjang. Itu menyebutkan tahap, dan tahap menyebutkan pemiliknya.

Cabang satu: tidak ada yang kembali

Jika klien mengirim paket pertamanya dan tidak menerima apa pun yang berguna, masalahnya ada di jalur atau di pendengar. Pastikan profil cocok dengan opsi yang benar-benar ditawarkan operator: alamat, port, dan UDP atau TCP. Lalu periksa apakah titik akhir sama sekali dapat dijangkau dari jaringan ini. Catat pemeriksaan mana dari keduanya yang gagal sebelum melanjutkan.

Peramban yang memuat halaman pada nama host yang sama hanya membuktikan bahwa layanan web menjawab. Bahkan koneksi TCP yang diterima tidak mengatakan apa pun tentang apakah OpenVPN menyelesaikan negosiasinya.

Jika profil berfungsi di jaringan tepercaya lain, pertahankan perbandingan itu. Ini melokalkan pembatasan pada jalur atau perantara.

Cabang dua: kanal kontrol tidak cocok

Ketika pertukaran dimulai lalu macet, pengaturan kanal kontrol adalah tersangka pertama. tls-auth dan tls-crypt harus sesuai dengan penerapan, dan materi dari server lain tidak akan menghasilkan pertukaran yang berguna. Kegagalan ini terjadi sebelum login akun apa pun. Profil yang disalin dari server lama adalah sumber yang biasa.

Setel ulang kata sandi tidak menggantikan pengaturan itu, dan meminjam kunci dari layanan lain bukan perbaikan kompatibilitas. Dapatkan profil melalui kanal terverifikasi operator dan catat versi klien yang diharapkannya.

Catat kesalahan negosiasi yang spesifik alih-alih mengaktifkan tumpukan algoritme lama untuk melihat apa yang bertahan. Teks kesalahan yang tertangkap itulah yang memungkinkan operator memeriksa sisinya.

Cabang tiga: sertifikat ditolak

Kegagalan verifikasi yang eksplisit menyebutkan sertifikat yang tidak disukainya. Periksa jam perangkat lebih dulu, lalu baca objek mana yang gagal: sertifikat server, sertifikat klien, atau penerbit dalam rantai. Kedaluwarsa, penerbit tidak tepercaya, dan identitas tak terduga adalah tiga pesan berbeda.

Biarkan verifikasi tetap aktif saat Anda memperoleh materi yang diperbaiki. Menerima sertifikat yang tidak terkait menghapus kesalahan tanpa membuktikan bahwa Anda mencapai server yang dimaksud.

Catat apakah kegagalan mengikuti jaringan atau profil. Kesalahan sertifikat yang muncul di mana-mana bukan masalah jalur.

Cabang empat: negosiasi selesai dan hal lain gagal

Setelah pertukaran identitas berhasil, kegagalan yang tersisa milik autentikasi atau perutean. Penolakan akun yang eksplisit adalah pertanyaan autentikasi, dan terowongan yang tersambung dengan situs tak terjangkau adalah pertanyaan perutean atau DNS. Terus mengganti opsi TLS pada titik itu merusak tahap yang sudah berfungsi.

Saat melaporkan masalah, katakan apakah setiap jaringan gagal, apakah profil lain berfungsi, dan apakah server mencatat upaya itu. Diam di sisi server dan penolakan darinya berdiri di batas yang berbeda.