Байланыштан баш тартуу — сертификат маселеси эмес: VPN боюнча нускама

CRLди кайра жараткандан кийин дароо байланыштан баш тартылганын кардар айтат, ошондуктан CRL күнөөлүү көрүнөт. Андай эмес. Баш тартуу — транспорттук катмардын жообу, ал эми сертификатты текшерүү кийинчерээк, туннелдин кол кармашуусунун ичинде жүрөт. Убакыттын дал келиши — контекст, далил эмес.

Эки текшерүү учурларды бир мүнөттөн аз убакытта ажыратат жана алардын эч бири ишеним жөндөөлөрүнө тийбейт.

Катаны аны пайда кылган катмарда окуңуз

connectтен ECONNREFUSED транспорттук аракеттен баш тартылганын билдирет: бир нерсе reset менен жооп берди же стек жетүүгө болбой турган порт тууралуу билдирди. Сертификат маселеси бул катаны пайда кыла албайт, анткени транспорттук байланышсыз TLS кол кармашуусу эч качан башталбайт. Баш тартууну көрсөңүз, кардар сертификат көрсөтүүгө жеткен эмес. Ушул бир факт күчүнөн ажыратууну себеп катары жокко чыгарат.

Тескериси да туура. Күчүнөн ажыратылган сертификат аяктаган TCP байланышын жана ийгиликсиз кол кармашууну пайда кылат, ал серверде текшерүү катасы катары жазылат.

TCP баш тартуусу: эч ким угуп жаткан жок

TCP үчүн көздөлгөн инстанция иштеп жатканын жана профилдеги дарек менен портко байланганын текшериңиз. ss -lntp угуучуларды көрсөтөт, алардын жоктугу — адаттагы түшүндүрмө. Пакеттерди таштоонун ордуна баш тарткан файрвол кардар тарапта ушундай эле билдирүүнү пайда кылат, ошондуктан экөөнү тең текшересиз.

Даректер үй-бүлөсүн да текшериңиз. 127.0.0.1 же гана IPv6га байланган кызмат экинчисине чечилген кардардан баш тартат.

Анан божомолдобой, кызматтын журналын окуңуз. CA тейлөөсүнөн кийинки кайра жүктөө окулбаган же жок файлда ийгиликсиз болуп, угуу абалына эч качан жетпеши мүмкүн, журнал файлдын атын атайт. Бул — иштетилүү катасы, баш тартылган сертификаттан башка ката.

UDPде баш тарта турган кол кармашуу жок

UDP аркылуу OpenVPN TCP маанисинде байланыш түзбөйт, ошондуктан connect учурунда баш тарта турган эч нерсе жок. Linuxте UDP сокети көрсөткөн ката мурунку датаграмма жараткан ICMP port-unreachableден келиши мүмкүн. udp(7) колдонмо бети ушул асинхрондук жүрүм-турумду сүрөттөйт.

Ошондуктан UDP кардары сервер процесси иштеп жатканы менен күтүлгөн дарекке байланбаган учурда баш тартууну басып чыгара алат.

CRL чындыгында кайда текшерилет

CRLге TLS кол кармашуусу учурунда, каршы тарап өз сертификатын көрсөткөндөн кийин жана сервердин конфигурациясы уруксат бергенде гана кайрылышат. OpenVPNдин crl-verify параметри файлды көрсөтөт, ал эми ийгиликсиздик сервер журналында сертификатты атаган текшерүү катасы катары көрүнөт.

Ошондуктан күчүнөн ажыратылган кардар транспорттук катмарда туташып, анан аутентификацияда ийгиликсиз болот. Ошол эле сервер, ошол эле порт, таптакыр башка билдирүү.

Ошол этапка жеткенде CRLдин чыгаруучусун жана жарактуулук даталарын текшериңиз. Туура эмес CA кол койгон CRL же кардар туташканга чейин мөөнөтү бүткөн CRL кардардын өз сертификатына эч кандай тиешеси жок текшерүү каталарын пайда кылат.

Кийинки жолу үчүн кыска нускама

Алгач транспортту ырастаңыз: угуучу бар, даректер үй-бүлөсү туура, файрвол баш тартпайт. Анан иштетилүү журналын окуп, кызматтын угуу абалына жеткенин ырастаңыз. Жана ошондон кийин гана текшерүү билдирүүлөрү үчүн кол кармашуу каталарын караңыз. Бул тартипти туруктуу сактаңыз, анткени ар бир кадам себептердин бүтүндөй классын жок кылат.

Транспортту, чечилген барар жерин, портту жана катанын так текстин жазып алыңыз. Кардарды кайра орнотуу ошол далилди жок кылат жана адатта эч нерсени өзгөртпөйт.