Алпыс секундтық TLS күту уақыты: қай жақ нақты тоқтады?

Клиент алпыс секундтан кейін кілттер туралы келіссөз жөнінде хабарламамен бас тартады, ал ноутбук себебі туралы еш пікір білдірмейді. Бұл сөйлем клиенттің шыдамдылығын сипаттайды, сервердің мінез-құлқын емес. Оны үш мүлде бөлек жағдай тудырады: пакет дұрыс қызметке ешқашан жетпеді, қызмет оны ештеңе журналға түсірмей тұрып тастады немесе қызмет одан бас тартып, мұны клиент көре алмайтын жерде айтты. Дәл бір әрекетті екі жақта сәйкестендіру оларды ажыратады.

Бір әрекетке іздей алатын сәйкестік беріңіз

Басталу уақытын уақыт белдеуімен, профиль атауын, клиент нақты шешкен межені, портты және қосылымның UDP немесе TCP екенін жазыңыз. Профильде бірнеше қашықтағы жазба болса, сол әрекеттің қайсысын таңдағанын белгілеңіз, өйткені қайта әрекет сіз оқып отырған файлды өзгертпей-ақ келесі жазбаға көшуі мүмкін.

Соңғы нүктені белсенді журналдан алыңыз, есте қалған жүктеуден емес. Жеке мекенжайға бағытталған профиль толығымен жарамды және оған маршруттай алмайтын желіден толығымен пайдасыз, және бұл жағдай өшіп тұрған серверге дәл ұқсайды.

Содан кейін оператордан көзделген данада сол терезені сұраңыз. Сағаттардың ауытқуы соншалықты жиі, бірнеше минуттық айырма сәйкес келетін оқиғаны жоқ сияқты көрсетуі мүмкін, сондықтан оқиға болмады деп қорытынды жасаудың орнына айырманы жазып қойыңыз.

Төрт байқау, төрт түрлі келесі қадам

Сервердің не жазатыны тармақты анықтайды. Ешқандай әрекеттің болмауы мекенжайлауға, тасымалдауға немесе қызметке апарар жолға меңзейді. Кәдімгі алмасуға дейін жоғалатын кіріс пакеттері нақты қызметтің бақылау арнасының талаптарына меңзейді. Аталған бас тарту ол атайтын нысанға меңзейді. Серверден шығып, клиентке ешқашан жетпейтін жауаптар қайту жолына меңзейді.

Бос қолданба журналы көрінгенінен әлсіз дәлел. Журналдау алмасудың белгілі бір нүктесінен басталады, және сол нүктеге дейін тасталған пакеттер сіз оқып отырған файлда еш із қалдырмайды. Рұқсат етілген жерде оператор қызмет пен желінің байқауларын пайдаланып, бірдеңе келді ме, жоқ па соны көре алады.

Жазбаларыңызда төрт нәтижені бөлек ұстаңыз. Оларды «сервер жауап бермейді» деп біріктіруге құштарлық бар, және нақты мәселе желіаралық қорған ережесі болғанда адамдарды шифрларды ауыстыруға жіберетін дәл осы сөз. Тек күту сөзін жазатын жазба жаңа ғана ақы төлеген айырмашылығыңызды тастап кетті.

Дәлел атайтын кезеңді түзетіңіз

Аяқталған TCP қосылымы тек бірдеңенің сокетті қабылдағанын дәлелдейді. Ол тыңдаушының сіз конфигурациялаған OpenVPN қызметі екенін дәлелдемейді, ал сол хост атындағы веб-сервер браузерге мінсіз жауап береді, бірақ туннельге қатысы жоқ.

Егер сервер мерзімі өткен кері қайтарып алу тізімін хабарласа, бұл клиенттің соңғы күтуінен әлдеқайда нақты факт, және түзету желіге емес, сертификат органына тиесілі. Егер екі жақ бақылау арнасының қорғанысы немесе ортақ материал туралы келіспесе, құпиясөзді қайта орнату ештеңені өзгертпейді, өйткені тастау кез келген тіркелгі деректері тексерілмес бұрын болады.

Дәлел шынымен қолдайтын бір нәрсені өзгертіңіз, содан кейін сол профильді сол соңғы нүктеге қарсы қайталаңыз. Қосылым әрі қарай жылжыса, бірінші жаңа оқиғаны сақтап қалыңыз, өйткені ол оқиға жаңа мәселе емес, тергеудің келесі кезеңі.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Терезені ұзарту нақты нені өзгертеді

Алпыс секунд — клиенттің қол алысу терезесі, және қауымдастық клиент анықтамасы оны реттейтін опцияны құжаттайды. Оны көтеру клиентті бас тартудан бұрын ұзағырақ күтуге мәжбүр етеді. Ол жоқ қызметті пайда қылмайды және қабылданбаған пакетті қолайлы етпейді.

Баяу байланыста немесе ауыр жүктелген серверде ұзағырақ терезенің заңды қолданысы бар, және алмасу баяу жүріп жатқаны, мүлде болмағаны емес, туралы дәлел болғанда оны қолданып көруге тұрарлық. Оны бірінші болып көру сол диагнозды тағы бір минутқа кешіктіріп, уақыт сызығын оқуды қиындатады. Егер уақыт сызығы ілгерілеп, содан кейін тоқтаған алмасуды көрсетсе, терезе жүктеменің симптомы, қолжетімділіктің емес.