Sextíu sekúndna TLS-tímamörk: hvor endinn stöðvaðist í raun?

Biðlarinn gefst upp eftir sextíu sekúndur með skilaboðum um lyklasamning og fartölvan hefur enga skoðun á ástæðunni. Þessi setning lýsir þolgæði biðlarans, ekki hegðun netþjónsins. Þrjár gjörólíkar aðstæður skapa hana: pakkinn náði aldrei réttu þjónustunni, þjónustan henti honum áður en hún skráði nokkuð, eða þjónustan hafnaði honum og sagði það einhvers staðar þar sem biðlarinn sér ekki. Það er tenging einnar tilraunar á báðum endum sem greinir þær að.

Gefðu einni tilraun auðkenni sem þú getur leitað að

Skráðu upphafstímann með tímabelti hans, heiti sniðsins, áfangastaðinn sem biðlarinn leysti í raun, gáttina og hvort tengingin er UDP eða TCP. Ef sniðið hefur margar fjarfærslur skaltu skrá hverja tilraunin valdi, því endurtilraun gæti hafa færst á næstu færslu án þess að breyta skránni sem þú ert að lesa.

Taktu endapunktinn úr virku skránni, ekki úr niðurhalinu sem þú manst eftir. Snið sem bendir á einkaaðsetur er fullkomlega gilt og fullkomlega ónothæft frá neti sem getur ekki beint þangað, og það tilfelli lítur nákvæmlega eins út og netþjónn sem er niðri.

Biddu síðan rekstraraðilann um sama glugga á tilætluðu tilvikinu. Klukkuskekkja er nógu algeng til að nokkurra mínútna frávik geti látið samsvarandi atburð virðast fjarverandi, svo skráðu frávikið í stað þess að álykta að enginn atburður hafi verið.

Fjórar athuganir, fjögur ólík næstu skref

Það sem netþjónninn skráir ræður greininni. Fjarvera hverrar tilraunar bendir á heimilisfangsetningu, flutning eða leiðina að þjónustunni. Komandi pakkar sem hverfa fyrir venjuleg skipti benda á kröfur stjórnrásar raunverulegu þjónustunnar. Nefnd synjun bendir á hlutinn sem hún nefnir. Svör sem fara frá netþjónnum en ná aldrei til biðlarans benda á afturleiðina.

Tóm forritsskrá er veikari sönnun en hún virðist. Skráning hefst á ákveðnum punkti í skiptunum, og pakkar sem hent er fyrir þann punkt skilja engin spor í skránni sem þú ert að lesa. Þar sem það er leyft getur rekstraraðilinn notað þjónustu- og netathuganir til að sjá hvort nokkuð kom yfirhöfuð.

Haltu fjórum niðurstöðum aðskildum í athugasemdunum þínum. Freistingin er að sameina þær í „netþjónninn svarar ekki“, og það er setningin sem sendir fólk að skipta um dulritun þegar raunverulega vandamálið er eldveggjarregla. Athugasemd sem skráir aðeins orðið tímamörk hefur hent burt greinarmuninum sem þú borgaðir einmitt fyrir.

Lagaðu það stig sem sönnunin nefnir

Lokið TCP-tenging sannar aðeins að eitthvað hafi tekið við hólki. Hún sannar ekki að hlustandinn sé OpenVPN-þjónustan sem þú stilltir, og vefþjónn á sama hýsilnafni svarar vafra fullkomlega á meðan hann er óviðkomandi göngunni.

Ef netþjónninn tilkynnir útrunnið afturköllunarlista er það mun nákvæmari staðreynd en endanleg tímamörk biðlarans, og lagfæringin tilheyrir vottunarstöðinni en ekki netinu. Ef endarnir tveir eru ósammála um vernd stjórnrásarinnar eða sameiginlegt efni breytir endurstilling lykilorðs engu, því förgunin á sér stað áður en nokkur skilríki eru skoðuð.

Breyttu einu sem sönnunin styður í raun og veru, endurtaktu síðan sama snið gegn sama endapunkti. Varðveittu fyrsta nýja atburðinn ef tengingin kemst lengra, því sá atburður er næsta stig rannsóknarinnar en ekki nýtt vandamál.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Hvað lenging gluggans breytir í raun

Sextíu sekúndur er handabandagluggi biðlarans, og samfélagsviðmið biðlarans skjalfestir valkostinn sem stillir hann. Að hækka hann lætur biðlarann bíða lengur áður en hann gefst upp. Það lætur fjarverandi þjónustu ekki birtast og gerir hafnaðan pakka ekki viðunandi.

Lengri gluggi á sér lögmæta notkun á hægri tengingu eða þungt hlaðnum netþjóni, og það er þess virði að prófa hann þegar þú hefur sönnun fyrir því að skiptin fari hægt fremur en að þau eigi sér ekki stað. Að prófa hann fyrst tefur bara sömu greiningu um eina mínútu í viðbót og gerir tímalínuna erfiðari að lesa. Ef tímalínan sýnir skipti sem fara áfram og stöðvast svo er glugginn einkenni álags en ekki aðgengis.