Алтымыш секунддук TLS күтүү убактысы: кайсы тарап чындыгында токтоду?

Кардар алтымыш секунддан кийин ачкычтар тууралуу сүйлөшүү жөнүндө билдирүү менен баш тартат, ал эми ноутбук эмне үчүн деп эч кандай пикир айтпайт. Бул сүйлөм кардардын чыдамкайлыгын сүрөттөйт, сервердин жүрүм-турумун эмес. Аны үч таптакыр башка кырдаал жаратат: пакет туура кызматка эч качан жеткен жок, кызмат аны эч нерсе жазбай туруп ыргытты, же кызмат ага баш тартып, муну кардар көрө албаган жерде айтты. Так бир аракетти эки тарапта салыштыруу аларды ажыратат.

Бир аракетке издесе боло турган инсандык берүү

Башталуу убактысын убакыт алкагы менен, профилдин атын, кардар чындыгында чечкен даректи, портту жана байланыштын UDP же TCP экенин жазыңыз. Профилде бир нече алыскы жазуу болсо, ошол аракет кайсынысын тандаганын белгилеңиз, анткени кайра аракет сиз окуп жаткан файлды өзгөртпөстөн кийинки жазууга өтүшү мүмкүн.

Акыркы чекитти активдүү журналдан алыңыз, эсиңиздеги жүктөөдөн эмес. Жеке дарекке багытталган профил толугу менен жарактуу жана ага маршруттай албаган тармактан толугу менен пайдасыз, жана бул учур өчүк серверге так окшош.

Андан кийин оператордон көздөлгөн нускада ошол эле терезени сураңыз. Сааттардын айырмасы ушунчалык кеңири таралгандыктан, бир нече мүнөттүк айырма дал келген окуяны жоктой көрсөтүшү мүмкүн, ошондуктан окуя болгон жок деп жыйынтык чыгаргандын ордуна айырманы жазып коюңуз.

Төрт байкоо, төрт башка кийинки кадам

Сервер эмнени жазганы бутакты аныктайт. Эч кандай аракеттин жоктугу даректөөгө, ташууга же кызматка барар жолго ишарат кылат. Кадимки алмашууга чейин жоголгон келген пакеттер чыныгы кызматтын башкаруу каналынын талаптарына ишарат кылат. Аталган баш тартуу ал атаган объектиге ишарат кылат. Серверден чыгып, бирок кардарга эч качан жетпеген жооптор кайтуу жолуна ишарат кылат.

Бош колдонмо журналы көрүнгөндөн алсыз далил. Журналдоо алмашуунун белгилүү бир чекитинен башталат, жана ошол чекитке чейин ыргытылган пакеттер сиз окуп жаткан файлда эч кандай из калтырбайт. Уруксат берилген жерде оператор кызмат жана тармак байкоолорун колдонуп, бир нерсе келдиби же жокпу көрө алат.

Жазууларыңызда төрт жыйынтыкты өзүнчө кармаңыз. Аларды «сервер жооп бербейт» деп бириктирүү азгырыгы бар, жана чыныгы көйгөй тармактык тосмонун эрежеси болгондо адамдарды шифрлерди алмаштырууга жиберген ушул эле сүйлөм. Тек күтүү сөзүн жазган жазуу жаңы эле төлөгөн айырмачылыгыңызды ыргытып салды.

Далил атаган этапты оңдоңуз

Бүткөн TCP байланышы бир нерсенин сокетти кабыл алганын гана далилдейт. Ал угуучу сиз конфигурациялаган OpenVPN кызматы экенин далилдебейт, ал эми ошол эле хост атындагы веб-сервер браузерге мыкты жооп берет, бирок туннелге эч катышы жок.

Эгер сервер мөөнөтү бүткөн жокко чыгаруу тизмесин билдирсе, бул кардардын акыркы күтүүсүнөн алда канча так факт, жана оңдоо тармакка эмес, сертификат органына таандык. Эгер эки тарап башкаруу каналынын корголушу же жалпы материал тууралуу макулдашпаса, сырсөздү кайра коюу эч нерсени өзгөртпөйт, анткени ыргытуу ар кандай күбөлүк текшерилгенге чейин болот.

Далил чындыгында колдогон бир нерсени өзгөртүңүз, анан ошол эле профилди ошол эле акыркы чекитке каршы кайталаңыз. Байланыш андан ары жылса, биринчи жаңы окуяны сактап калыңыз, анткени ал окуя жаңы көйгөй эмес, иликтөөнүн кийинки этабы.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Терезени узартуу чындыгында эмнени өзгөртөт

Алтымыш секунд — кардардын кол алышуу терезеси, жана коомчулуктун кардар шилтемеси аны жөнгө салган параметрди документтештирет. Аны көтөрүү кардарды баш тартканга чейин узагыраак күтүүгө мажбурлайт. Ал жок кызматты пайда кылбайт жана четке кагылган пакетти кабыл алынарлык кылбайт.

Жай байланышта же оор жүктөлгөн серверде узагыраак терезенин мыйзамдуу колдонулушу бар, жана алмашуу жай жүрүп жатканы, такыр болбой жатканы эмес, тууралуу далил болгондо аны сынап көрүүгө татыктуу. Аны биринчи сынап көрүү ошол эле диагнозду дагы бир мүнөткө кечиктирип, убакыт сызыгын окууну кыйындатат. Эгер убакыт сызыгы илгерилеп, анан токтогон алмашууну көрсөтсө, терезе жүктөмдүн белгиси, жеткиликтүүлүктүн эмес.