Batas waktu TLS enam puluh detik: ujung mana yang sebenarnya berhenti?

Klien menyerah setelah enam puluh detik dengan pesan tentang negosiasi kunci, dan laptop tidak berpendapat tentang alasannya. Kalimat itu menggambarkan kesabaran klien, bukan perilaku server. Tiga situasi yang sangat berbeda menghasilkannya: paket tidak pernah mencapai layanan yang benar, layanan membuangnya sebelum mencatat apa pun, atau layanan menolaknya dan mengatakannya di tempat yang tidak bisa dilihat klien. Menghubungkan satu percobaan di kedua ujung inilah yang memisahkannya.

Beri satu percobaan identitas yang dapat Anda cari

Catat waktu mulai beserta zona waktunya, nama profil, tujuan yang benar-benar diselesaikan klien, port, dan apakah koneksinya UDP atau TCP. Jika profil memuat beberapa entri jarak jauh, catat mana yang dipilih percobaan itu, karena percobaan ulang mungkin telah berpindah ke entri berikutnya tanpa mengubah berkas yang Anda baca.

Ambil titik akhir dari log aktif, bukan dari unduhan yang Anda ingat. Profil yang menunjuk ke alamat privat sepenuhnya sah dan sepenuhnya tidak berguna dari jaringan yang tidak dapat merutekan ke sana, dan kasus itu terlihat sama persis dengan server yang mati.

Lalu mintalah kepada operator jendela waktu yang sama pada instans yang dimaksud. Selisih jam cukup umum sehingga perbedaan beberapa menit dapat membuat peristiwa yang cocok tampak tidak ada, jadi catat selisihnya alih-alih menyimpulkan tidak ada peristiwa.

Empat pengamatan, empat langkah berikutnya yang berbeda

Apa yang dicatat server menentukan cabangnya. Tidak adanya percobaan apa pun menunjuk ke pengalamatan, transportasi, atau jalur ke layanan. Paket masuk yang hilang sebelum pertukaran biasa menunjuk ke persyaratan kanal kendali layanan yang sebenarnya. Penolakan bernama menunjuk ke objek yang disebutnya. Balasan yang meninggalkan server tetapi tidak pernah mencapai klien menunjuk ke jalur kembali.

Log aplikasi yang kosong adalah bukti yang lebih lemah daripada kelihatannya. Pencatatan dimulai pada titik tertentu dalam pertukaran, dan paket yang dibuang sebelum titik itu tidak meninggalkan jejak pada berkas yang Anda baca. Di tempat yang diizinkan, operator dapat menggunakan pengamatan layanan dan jaringan untuk melihat apakah ada yang benar-benar tiba.

Simpan keempat hasil itu terpisah dalam catatan Anda. Godaannya adalah menggabungkannya menjadi “server tidak merespons”, dan itulah frasa yang mengirim orang mengubah cipher ketika masalah sebenarnya adalah aturan firewall. Catatan yang hanya mencatat kata batas waktu telah membuang pembedaan yang baru saja Anda bayar.

Perbaiki tahap yang disebut oleh bukti

Koneksi TCP yang selesai hanya membuktikan bahwa sesuatu menerima soket. Itu tidak membuktikan bahwa pendengarnya adalah layanan OpenVPN yang Anda konfigurasi, dan server web pada nama host yang sama menjawab peramban dengan sempurna sementara tidak relevan bagi terowongan.

Jika server melaporkan daftar pencabutan yang kedaluwarsa, itu fakta yang jauh lebih spesifik daripada batas waktu akhir klien, dan perbaikannya ada pada otoritas sertifikat, bukan jaringan. Jika kedua ujung tidak sepakat tentang perlindungan kanal kendali atau materi bersama, mengatur ulang kata sandi tidak mengubah apa pun, karena pembuangan terjadi sebelum kredensial apa pun diperiksa.

Ubah satu hal yang benar-benar didukung bukti, lalu ulangi profil yang sama terhadap titik akhir yang sama. Pertahankan peristiwa baru yang pertama jika koneksi bergerak lebih jauh, karena peristiwa itu adalah tahap berikutnya dari penyelidikan, bukan masalah baru.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Apa yang sebenarnya diubah dengan memperpanjang jendela

Enam puluh detik adalah jendela jabat tangan klien, dan referensi klien komunitas mendokumentasikan opsi yang menyesuaikannya. Menaikkannya membuat klien menunggu lebih lama sebelum menyerah. Itu tidak membuat layanan yang tidak ada muncul dan tidak membuat paket yang ditolak menjadi dapat diterima.

Ada penggunaan yang sah untuk jendela yang lebih panjang pada tautan lambat atau server yang sangat sarat, dan layak dicoba setelah Anda punya bukti bahwa pertukaran berjalan lambat, bukan tidak terjadi. Mencobanya lebih dulu hanya menunda diagnosis yang sama satu menit lagi dan membuat garis waktu lebih sulit dibaca. Jika garis waktu menunjukkan pertukaran yang maju lalu berhenti, jendelanya adalah gejala beban, bukan keterjangkauan.