Қосылымнан бас тарту — сертификат мәселесі емес: VPN жұмыс нұсқаулығы

CRL-ді қайта жасағаннан кейін бірден қосылымнан бас тартылғанын клиент айтады, сондықтан CRL кінәлі болып көрінеді. Олай емес. Бас тарту — тасымалдау қабатының жауабы, ал сертификатты тексеру кейінірек, туннельдің қол алысуы ішінде жүреді. Уақыттың сәйкесуі — мәнмәтін, дәлел емес.

Екі тексеру жағдайларды бір минуттан аз уақытта ажыратады және олардың ешқайсысы сенім параметрлеріне қол тигізбейді.

Қатені оны тудырған қабатта оқыңыз

connect-тен ECONNREFUSED тасымалдау әрекетінен бас тартылғанын білдіреді: бірдеңе reset-пен жауап берді немесе стек қолжетімсіз порт туралы хабарлады. Сертификат мәселесі бұл қатені тудыра алмайды, себебі тасымалдау қосылымынсыз TLS қол алысуы ешқашан басталмайды. Бас тартуды көрсеңіз, клиент сертификат ұсынуға жеткен жоқ. Осы бір факт кері қайтарып алуды себеп ретінде жоққа шығарады.

Керісінше де дұрыс. Кері қайтарылған сертификат аяқталған TCP қосылымын және сәтсіз қол алысуды тудырады, ол серверде тексеру қатесі ретінде жазылады.

TCP бас тартуы: ешкім тыңдамайды

TCP үшін көзделген дананың жұмыс істеп тұрғанын және профильдегі мекенжай мен портқа байланғанын тексеріңіз. ss -lntp тыңдаушыларды көрсетеді, олардың жоқтығы — әдеттегі түсініктеме. Пакеттерді тастаудың орнына бас тартатын желілік қалқан клиент жағында сол хабарламаны тудырады, сондықтан екеуін де тексересіз.

Мекенжай тобын да тексеріңіз. 127.0.0.1 немесе тек IPv6-ға байланған қызмет екіншісіне шешілетін клиенттен бас тартады.

Сосын болжаудың орнына қызмет журналын оқыңыз. CA қызметінен кейінгі қайта қосу оқылмайтын немесе жоқ файлда сәтсіз аяқталып, тыңдау күйіне ешқашан жетпеуі мүмкін, ал журнал файлдың атын атайды. Бұл — іске қосу ақауы, бас тартылған сертификаттан өзгеше ақау.

UDP-де бас тартатын қол алысу жоқ

UDP арқылы OpenVPN TCP мағынасында қосылым орнатпайды, сондықтан connect кезінде бас тартатын ештеңе жоқ. Linux-те UDP сокеті көрсеткен қате бұрынғы датаграмма жасаған ICMP port-unreachable-ден келуі мүмкін. udp(7) анықтама беті осы асинхронды әрекетті сипаттайды.

Сондықтан UDP клиенті сервер процесі жұмыс істеп тұрған, бірақ күтілетін мекенжайға байланбаған кезде бас тартуды басып шығара алады.

CRL шын мәнінде қайда тексеріледі

CRL-ге TLS қол алысуы кезінде, қарсы тарап өз сертификатын ұсынғаннан кейін және сервер конфигурациясы рұқсат еткен жағдайда ғана жүгінеді. OpenVPN-нің crl-verify параметрі файлды көрсетеді, ал сәтсіздік сервер журналында сертификатты атайтын тексеру қатесі ретінде шығады.

Сонымен, кері қайтарылған клиент тасымалдау қабатында қосылады, содан кейін аутентификацияда сәтсіздікке ұшырайды. Сол сервер, сол порт, мүлде басқа хабарлама.

Осы кезеңге жеткенде CRL-дің шығарушысын және жарамдылық күндерін тексеріңіз. Қате CA қол қойған CRL немесе клиент қосылмай тұрып мерзімі біткен CRL клиенттің өз сертификатына қатысы жоқ тексеру қателерін тудырады.

Келесі жолға қысқа нұсқаулық

Алдымен тасымалдауды растаңыз: тыңдаушы бар, мекенжай тобы дұрыс, желілік қалқан бас тартпайды. Сосын іске қосу журналын оқып, қызметтің тыңдау күйіне жеткенін растаңыз. Содан кейін ғана тексеру хабарламалары үшін қол алысу қателерін қараңыз. Осы ретті тұрақты ұстаңыз, себебі әр қадам себептердің тұтас класын жояды.

Тасымалдауды, шешілген межелі орынды, портты және қатенің нақты мәтінін жазып алыңыз. Клиентті қайта орнату сол дәлелді жояды және әдетте ештеңені өзгертпейді.