OpenVPN-ის TLS ხელის ჩამორთმევა ვერ მოხერხდა: რომელ შტოზე ხართ?
დროის ამოწურვა, უარყოფილი სერტიფიკატი და შეუსაბამო საკონტროლო არხი სხვადასხვა შესწორებას მოითხოვს. წაიკითხეთ მოვლენები გაწყვეტამდე, რომ აირჩიოთ სწორი შტო.
ხაზი, რომელიც ამბობს, რომ TLS ხელის ჩამორთმევა ვერ მოხერხდა, ამბის დასასრულია და არა დასაწყისი. მთავარია მოვლენა უშუალოდ მის წინ, რადგან ეს მოვლენა ასახელებს, ოთხი სრულიად განსხვავებული ხარვეზიდან რომელი გაქვთ. დროის ამოწურვა, საკონტროლო არხის შეუსაბამობა, სერტიფიკატის უარყოფა და მოლაპარაკების შემდგომი ჩავარდნა ყველა ერთსა და იმავე სათაურს იძლევა. შტო აირჩიეთ მტკიცებულებების მიხედვით და შესწორება აღარ იქნება ვარაუდი.
წაიკითხეთ ბოლო მოვლენა ჩავარდნამდე
გადაახვიეთ ზემოთ, ნაცვლად იმისა, რომ ბოლო ხაზი წაიკითხოთ. გაწყვეტამდე მოვლენა ჩვეულებრივ ასახელებს ეტაპს: საერთოდ არავითარი პასუხი, შეცდომა საკონტროლო პაკეტების გაცვლისას, შემოწმების შედეგი, ან წარმატებული მოლაპარაკება, რომელსაც მოჰყვება ავთენტიფიკაციის შედეგი. თითოეული მათგანი სხვადასხვა მფლობელს ეკუთვნის. სწორედ ეს ერთი ხაზი წყვეტს, ქვემოთ რომელი ნაწილია მოქმედი.
შეინახეთ შეცდომის ტექსტი კლიენტის ვერსიასთან, საბოლოო წერტილთან და ტრანსპორტთან ერთად. გასაღებები, პაროლები და დაურედაქტირებელი პროფილები მოშორებით შეინახეთ ყველაფრისგან, რასაც საჯაროდ აქვეყნებთ.
ზუსტი პირველი შეცდომა უფრო ღირებულია, ვიდრე ჟურნალის გრძელი ამონაწერი. ის ასახელებს ეტაპს, ხოლო ეტაპი ასახელებს მფლობელს.
პირველი შტო: არაფერი დაბრუნდა
თუ კლიენტმა გაგზავნა თავისი პირველი პაკეტი და ვერ მიიღო არაფერი გამოსადეგი, პრობლემა გზაზეა ან მსმენელთან. დაადასტურეთ, რომ პროფილი შეესაბამება ოპერატორის მიერ რეალურად შემოთავაზებულ ვარიანტს: მისამართი, პორტი და UDP ან TCP. შემდეგ შეამოწმეთ, საერთოდ მისაწვდომია თუ არა საბოლოო წერტილი ამ ქსელიდან. გაგრძელებამდე ჩაწერეთ, ამ ორი შემოწმებიდან რომელი ჩავარდა.
ბრაუზერი, რომელიც იტვირთავს გვერდს იმავე ჰოსტის სახელზე, მხოლოდ იმას ამტკიცებს, რომ ვებ-სერვისმა უპასუხა. მიღებული TCP კავშირიც კი არაფერს ამბობს იმაზე, დასრულდა თუ არა OpenVPN მოლაპარაკება.
თუ პროფილი მუშაობს სხვა სანდო ქსელში, შეინარჩუნეთ ეს შედარება. ის შეზღუდვას გზაზე ან შუამავალზე მიაკუთვნებს.
მეორე შტო: საკონტროლო არხი არ ემთხვევა
როცა გაცვლა იწყება და შემდეგ ჩერდება, საკონტროლო არხის პარამეტრები პირველი ეჭვმიტანილია. tls-auth და tls-crypt უნდა ემთხვეოდეს განლაგებას, და სხვა სერვერის მასალა სასარგებლო გაცვლას არ მოგვცემს. ეს ჩავარდნა ხდება ანგარიშში შესვლამდე. ძველი სერვერიდან კოპირებული პროფილი ჩვეულებრივი წყაროა.
პაროლის აღდგენა არ ცვლის ამ პარამეტრებს, და სხვა სერვისიდან გასაღების სესხება თავსებადობის შესწორება არ არის. მიიღეთ პროფილი ოპერატორის დადასტურებული არხით და ჩაწერეთ კლიენტის ვერსია, რომელსაც ის ელოდება.
ჩაწერეთ კონკრეტული მოლაპარაკების შეცდომა, ნაცვლად იმისა, რომ ბევრი ძველი ალგორითმი ჩართოთ და ნახოთ, რა გაძლებს. დაფიქსირებული შეცდომის ტექსტია ის, რაც ოპერატორს საშუალებას აძლევს შეამოწმოს თავისი მხარე.
მესამე შტო: სერტიფიკატი უარყოფილია
გამოკვეთილი შემოწმების ჩავარდნა ასახელებს სერტიფიკატს, რომელიც არ მოსწონს. ჯერ შეამოწმეთ მოწყობილობის საათი, შემდეგ წაიკითხეთ, რომელი ობიექტი ჩავარდა: სერვერის სერტიფიკატი, კლიენტის სერტიფიკატი, ან ჯაჭვში არსებული გამომცემი. ვადის გასვლა, არასანდო გამომცემი და მოულოდნელი იდენტობა სამი განსხვავებული შეტყობინებაა.
შემოწმება ჩართული დატოვეთ, სანამ შესწორებულ მასალას მიიღებთ. დაუკავშირებელი სერტიფიკატის მიღება აშორებს შეცდომას, მაგრამ არ ამტკიცებს, რომ მიზნობრივ სერვერს მიაღწიეთ.
ჩაწერეთ, მოჰყვება თუ არა ჩავარდნა ქსელს თუ პროფილს. ყველგან გამოჩენილი სერტიფიკატის შეცდომა გზის პრობლემა არ არის.
მეოთხე შტო: მოლაპარაკება დასრულდა და სხვა რამ ჩავარდა
როცა იდენტობის გაცვლა წარმატებით სრულდება, დარჩენილი ჩავარდნა ავთენტიფიკაციას ან მარშრუტიზაციას ეკუთვნის. ანგარიშის გამოკვეთილი უარყოფა ავთენტიფიკაციის საკითხია, ხოლო დაკავშირებული გვირაბი მიუწვდომელი საიტებით არის მარშრუტიზაციის ან DNS-ის საკითხი. ამ მომენტში TLS პარამეტრების გამოცვლის გაგრძელება აზიანებს უკვე მომუშავე ეტაპს.
პრობლემის შეტყობინებისას თქვით, ყველა ქსელი ვარდება თუ არა, მუშაობს თუ არა სხვა პროფილი და დააფიქსირა თუ არა სერვერმა მცდელობა. სერვერის მხრიდან დუმილი და მისი მხრიდან უარყოფა სხვადასხვა საზღვარზე დგას.