Журналдагы P_CONTROL_HARD_RESET_CLIENT_V2: бул катабы?

Сап ар кандай секундда кайталанып, баарынын себеби сыяктуу көрүнөт: control hard reset деп аталган пакет эч жерге жетпеген кардардан келет. Бул ката эмес. Бул жаңы сессиянын биринчи билдирүүсү, ал эми кайталануу андан ары башка нерсенин ишке ашпай жатканынын белгиси. Белги эмне деп жатканын жана байланыш андан кийин эмне кылганын бөлүү — бүт диагностика.

Опкод протоколдогу орунду атайт

OpenVPN бир сокет аркылуу пакеттердин бир нече түрүн мультиплекстейт, ал эми опкод кабыл алуучуга кайсы түрдү кармап турганын айтат. hard-reset пакеттери сессия ачат, башкаруу пакеттери кол алышуу материалын ташыйт, ырастоолор кабыл алууну ырастайт, ал эми маалымат пакеттери туннелдин жүгүн ташыйт. Биринчи байтты окуу пакеттин бул алмашуудагы ордун көрсөтөт, жана баштапкы коддогу пакет аныктамалары ар бир үй-бүлөнү ачык атайт.

Ал ушундан башка эч нерсе айтпайт. Кардардын баштапкы кайра жүктөөсү деп белгиленген пакет пакеттин сиздин байкоо чекитиңизге жеткенин жана өнөктөштүн сессия баштоону каалаарын далилдейт. Ал кардар сертификатыңызга ишенгенин, анын каттоо маалыматтары кабыл алынганын же маалымат каналы бир кезде иштөөгө жарактуу болгонун далилдебейт.

V2 уландысы ошол пакеттер үй-бүлөсү үчүн протокол муунунун белгиси, продукт версиясы да эмес, сиз орноткон жөндөө да эмес. Аталышта туннелди кайра жүктөөгө, кызматты кайра иштетүүгө же кэшти тазалоого тиешелүү эч нерсе жок.

Ошол учурда кардар чындыгында эмне кылып жатат

Кардар сессия идентификаторун ачат, ага эки тарап тең кийинки башкаруу трафигин тиркейт. Башкаруу каналынын коргоосу конфигурацияланган болсо, ошол биринчи пакет HMAC ташыйт, ал кабыл алуучуга алмашуунун калган бөлүгүнө күч жумшоого татыктуубу деп чечүүгө мүмкүндүк берет. Аны текшере албаган кабыл алуучу пакетти үнсүз таштайт, ошондуктан туура эмес жалпы ачкыч боштукка сүйлөп жаткан кардарга окшош.

Колдонуучуга көрүнөрлүк эч нерсе али боло элек. Эч бир сертификат текшерилген жок, эч бир колдонуучу аты сунушталган жок жана эч бир туннел дареги берилген жок. Кайра жүктөө кол алышуунун киришүүсү, ошондуктан бул учурда байланыш жөнүндө кандайдыр бир тыянак эрте.

Бош кайра туташуу циклинде кызыктуу деталь — интервал. Туруктуу циклде илгерилебестен кайра аракет кылган кардар адатта илгерилей албай туруп четке кагылат, ал эми себеби пакет аталышында эмес, өнөктөштүн журналында.

Кайра жүктөөдөн кийин чыныгы бузулуу кайда жашынган

Эки журналды катар окуп, кайра жүктөө эмес биринчи окуяны табыңыз. Кардарда сертификатты текшерүүнүн ишке ашпай калышы так себеби менен билдирилет: мөөнөтү өткөн сертификат, аттын дал келбестиги же белгисиз чыгаруучу. Серверде каттоо маалыматтарын четке кагуу өз себеби менен аутентификациянын ишке ашпай калышы катары билдирилет. Экөө тең сервердин жаңы аракеттерге кайталап көз чаптырышынан алда канча так.

Ар бир журналды өзүнчө окуунун ордуна бир аракетти убакыт белгиси боюнча дал келтириңиз, анткени ошол эле ишке ашпоочулук эки жерде тең башка сөздөр жана башка оордук менен көрүнөт. Жеңилген өнөктөш адатта себебин айтат.

Эгер эч бир тарап четке кагуу жөнүндө билдирбесе, ал эми алмашуу дагы эле токтоп турса, чек — жеткиликтүүлүк, ишеним эмес. Кайтаруу багытын таштаган файрвол, картасынын мөөнөтү бүткөн тармактык даректерди которуу түзмөгү же чоңураак кол алышуу пакеттерин өлтүргөн MTU маселеси — баары тең аутентификация катасыз токтогон алмашууну жаратат.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Бул издөө өзү диагноз эмес, бирок сизди бир кадамда протокол сөздүгүнөн чыныгы бузулуу классына которот.

Текшерүүнү өчүрүү эмне үчүн туура эмес реакция

Кайра жүктөө көрүнө берсе, эң ылдам көрүнгөн оңдоо — сертификатты текшерүүнү өчүрүү же бир нерсе туташышы үчүн башкаруу каналынын коргоосунан баш тартуу. Бул диагностикалоого боло турган бузулууну диагностикалоого болбой турган менен алмаштырат жана жайгаштырууну четке кагуу үчүн курулган өнөктөштөрдү кабыл алууга калтырат.

Анын ордуна чындыгында ишке ашпай калган чекти өзгөртүңүз. Ишеним маселеси сертификат органына жана ага шилтеме кылган профилге таандык. Убакыт маселеси саатка таандык. Каттоо маалыматтарынын маселеси аларды четке каккан аутентификация бэкендине таандык, ал эми жетүүгө болбой турган өнөктөш эки хосттун ортосундагы жолго таандык.

Опкод колдоо сүйлөшүүсүндө бир нерсеге пайдалуу: өнөктөш аракет кылууга жетиштүү илгерилегенин айтат. Андан кийин эмне болгону — билүүгө тийиш нерсе, жана ал биринчи так четке кагууну жаза турган журналда жазылган. Ошол жерден баштаңыз, ошондо кайра жүктөө сабы себеп сыяктуу көрүнүүнү токтотуп, убакыт белгиси сыяктуу көрүнө баштайт.