სამოცწამიანი TLS-ის დროის ლიმიტი: რომელი მხარე რეალურად გაჩერდა?

კლიენტი სამოცი წამის შემდეგ ნებდება გასაღებების მოლაპარაკების შესახებ შეტყობინებით, ხოლო ლეპტოპი მიზეზზე აზრს არ გამოთქვამს. ეს წინადადება კლიენტის მოთმინებას აღწერს და არა სერვერის ქცევას. მას სამი სრულიად განსხვავებული სიტუაცია წარმოშობს: პაკეტი არასოდეს მივიდა სწორ სერვისამდე, სერვისმა ის გადააგდო რაიმეს ჩაწერამდე, ან სერვისმა უარი უთხრა და ეს ისეთ ადგილას თქვა, სადაც კლიენტი ვერ ხედავს. სწორედ ერთი მცდელობის ორივე ბოლოში შედარება გამოყოფს მათ.

მიეცით ერთ მცდელობას იდენტობა, რომლის ძებნაც შეგიძლიათ

ჩაწერეთ დაწყების დრო მისი დროის სარტყელით, პროფილის სახელი, დანიშნულება, რომელიც კლიენტმა რეალურად გადაჭრა, პორტი და ის, UDP-ია კავშირი თუ TCP. თუ პროფილს რამდენიმე დისტანციური ჩანაწერი აქვს, აღნიშნეთ, რომელი აირჩია ამ მცდელობამ, რადგან განმეორებული ცდა შესაძლოა შემდეგ ჩანაწერზე გადასულიყო თქვენს მიერ წაკითხული ფაილის შეცვლის გარეშე.

საბოლოო წერტილი აიღეთ აქტიური ჟურნალიდან და არა იმ ჩამოტვირთვიდან, რომელიც გახსოვთ. კერძო მისამართზე მიმთითებელი პროფილი სრულიად ვალიდურია და სრულიად უსარგებლოა ისეთი ქსელიდან, რომელსაც იქ მარშრუტიზაცია არ შეუძლია, და ეს შემთხვევა ზუსტად გამორთული სერვერის მსგავსია.

შემდეგ სთხოვეთ ოპერატორს იგივე ფანჯარა განზრახ ეგზემპლარზე. საათების სხვაობა იმდენად გავრცელებულია, რომ რამდენიმე წუთის სხვაობამ შეიძლება შესაბამისი მოვლენა არარსებულად აჩვენოს, ამიტომ ჩაწერეთ სხვაობა და ნუ დაასკვნით, რომ მოვლენა არ ყოფილა.

ოთხი დაკვირვება, ოთხი განსხვავებული შემდეგი ნაბიჯი

რასაც სერვერი ჩაწერს, ის განსაზღვრავს ტოტს. რაიმე მცდელობის არარსებობა მიუთითებს მისამართებაზე, ტრანსპორტზე ან სერვისამდე მიმავალ გზაზე. ჩვეულებრივ გაცვლამდე ქრობადი შემომავალი პაკეტები მიუთითებს რეალური სერვისის საკონტროლო არხის მოთხოვნებზე. დასახელებული უარი მიუთითებს ობიექტზე, რომელსაც ის ასახელებს. პასუხები, რომლებიც სერვერს ტოვებენ, მაგრამ კლიენტამდე არასოდეს აღწევენ, მიუთითებს დაბრუნების გზაზე.

ცარიელი აპლიკაციის ჟურნალი უფრო სუსტი მტკიცებულებაა, ვიდრე ჩანს. ჟურნალირება იწყება გაცვლის გარკვეულ წერტილში, და ამ წერტილამდე გადაგდებული პაკეტები კვალს არ ტოვებს თქვენს მიერ წაკითხულ ფაილში. სადაც ეს დასაშვებია, ოპერატორს შეუძლია სერვისისა და ქსელის დაკვირვებებით ნახოს, საერთოდ მივიდა თუ არა რამე.

თქვენს ჩანაწერებში ოთხივე შედეგი ცალ-ცალკე შეინახეთ. ცდუნება ისაა, რომ ისინი გააერთიანოთ «სერვერი არ პასუხობს»-ში, და სწორედ ეს ფრაზა აგზავნის ადამიანებს შიფრების შესაცვლელად, როცა ნამდვილი პრობლემა დაცვითი კედლის წესია. ჩანაწერი, რომელიც მხოლოდ დროის ლიმიტის სიტყვას იწერს, სწორედ იმ განსხვავებას გადაყარა, რომლისთვისაც ახლახან გადაიხადეთ.

შეასწორეთ ის ეტაპი, რომელსაც მტკიცებულება ასახელებს

დასრულებული TCP კავშირი მხოლოდ იმას ამტკიცებს, რომ რაღაცამ სოკეტი მიიღო. ის არ ამტკიცებს, რომ მსმენელი თქვენ მიერ კონფიგურირებული OpenVPN სერვისია, და იმავე ჰოსტის სახელზე არსებული ვებ სერვერი ბრაუზერს სრულყოფილად პასუხობს, მაშინ როცა გვირაბისთვის ის უმნიშვნელოა.

თუ სერვერი ვადაგასული გაუქმების სიის შესახებ იტყობინება, ეს გაცილებით კონკრეტული ფაქტია, ვიდრე კლიენტის საბოლოო დროის ლიმიტი, და შესწორება სერტიფიკატის ორგანოს ეკუთვნის და არა ქსელს. თუ ორი ბოლო არ თანხმდება საკონტროლო არხის დაცვაზე ან საერთო მასალაზე, პაროლის გადაყენება არაფერს ცვლის, რადგან გადაყრა ხდება ნებისმიერი სერთიფიკატის შემოწმებამდე.

შეცვალეთ ერთი რამ, რასაც მტკიცებულება ნამდვილად უჭერს მხარს, შემდეგ გაიმეორეთ იგივე პროფილი იმავე საბოლოო წერტილზე. თუ კავშირი უფრო შორს წავა, შეინახეთ პირველი ახალი მოვლენა, რადგან ეს მოვლენა ახალი პრობლემა არ არის, არამედ გამოძიების შემდეგი ეტაპი.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

რას ცვლის სინამდვილეში ფანჯრის გახანგრძლივება

სამოცი წამი კლიენტის ხელის ჩამორთმევის ფანჯარაა, და საზოგადოების კლიენტის ცნობარი ადასტურებს იმ პარამეტრს, რომელიც მას არეგულირებს. მისი გაზრდა კლიენტს უფრო დიდხანს ალოდინებს ნებაზე დათმობამდე. ის არ აჩენს არარსებულ სერვისს და არ ხდის უარყოფილ პაკეტს მისაღებს.

უფრო გრძელ ფანჯარას ლეგიტიმური გამოყენება აქვს ნელი კავშირის ან ძლიერ დატვირთული სერვერის დროს, და ღირს მისი ცდა, როცა გაქვთ მტკიცებულება, რომ გაცვლა ნელა მიემართება და არა რომ საერთოდ არ ხდება. მისი პირველად ცდა მხოლოდ იმავე დიაგნოზს კიდევ ერთი წუთით აგვიანებს და დროის ხაზის წაკითხვას ართულებს. თუ დროის ხაზი აჩვენებს გაცვლას, რომელიც წინ მიიწევს და შემდეგ ჩერდება, ფანჯარა დატვირთვის სიმპტომია და არა ხელმისაწვდომობის.