Verbindung ofgeleent ass kee Zertifikatsproblem: en VPN-Runbook

De Client seet Verbindung ofgeleent direkt nodeems Dir d’CRL nei erstallt hutt, also gesäit d’CRL schëlleg aus. Si ass et net. Oflehnung ass eng Äntwert vun der Transportschicht, an d’Zertifikatspréifung geschitt méi spéit, am Handshake vum Tunnel. Den Timing ass Kontext, net Beweis.

Zwou Kontrollen trennen d’Fäll a manner wéi enger Minutt, an keng vun deenen zwee rifft un den Trauensastellungen.

Liest de Feeler op der Schicht, déi en erstallt huet

ECONNREFUSED vum connect bedeit, datt den Transportversuch ofgeleent gouf: eppes huet mat engem Reset geäntwert, oder de Stack huet en onerrechbare Port gemellt. En Zertifikatsproblem kann dee Feeler net produzéieren, well den TLS-Handshake ni ufänkt ouni Transportverbindung. Wann Dir eng Oflehnung gesitt, ass de Client ni wäit genuch komm fir en Zertifikat virzeleeën. Dee eenzege Fakt schléisst Widderruff als Ursaach aus.

Och de Géigendeel gëlt. En zréckgezunn Zertifikat produzéiert eng ofgeschloss TCP-Verbindung an en duerchgefallenen Handshake, deen um Server als Verifikatiounsfeeler protokolléiert gëtt.

TCP-Oflehnung: kee lauschtert

Fir TCP, préift ob déi virgesinn Instanz leeft an un d’Adress an de Port am Profil gebonnen ass. ss -lntp weist Lauschterer, an hiren Absenz ass déi gewéinlech Erklärung. Eng Firewall, déi ofleent amplaz ze verwerfen, produzéiert déiselwecht Noriicht op der Clientsäit, dofir préift Dir béides.

Préift och d’Adressfamilie. En Service, deen un 127.0.0.1 oder nëmmen un IPv6 gebonnen ass, wäert e Client ofleenen, deen op déi aner opléist.

Liest duerno de Service-Log amplaz ze roden. En Neistart no der CA-Maintenance kann op enger onliesbarer oder fehlender Datei feelen an ni den Nolauschter-Zoustand erreechen, an de Log nennt d’Datei. Dat ass e Startfeeler, e anere Bug wéi en ofgeleenten Zertifikat.

UDP huet keen Handshake fir ofzeleenen

OpenVPN iwwer UDP baut keng Verbindung am TCP-Sënn op, dofir gëtt et beim connect näischt ofzeleenen. Op Linux kann en Feeler, deen en UDP-Socket weist, vun engem ICMP port-unreachable kommen, deen en fréieren Datagramm erstallt huet. D’Manpage udp(7) beschreift dat asynchron Verhalen.

Dofir kann en UDP-Client eng Oflehnung printen, wärend de Serverprozess leeft awer net un déi erwaart Adress gebonnen ass.

Wou eng CRL tatsächlech gepréift gëtt

D’CRL gëtt während dem TLS-Handshake konsultéiert, nodeems de Géigeniwwer säin Zertifikat virgeluecht huet, an nëmme wann d’Serverkonfiguratioun et erlaabt. D’OpenVPN-Optioun crl-verify weist op d’Datei, an e Feeler erschéngt am Server-Log als Verifikatiounsfeeler, deen den Zertifikat nennt.

En zréckgezunn Client verbënnt sech also op der Transportschicht an duerchfält duerno d’Authentifikatioun. Dee selwechte Server, dee selwechte Port, komplett aner Noriicht.

Préift den Aussteller an d’Gëltegkeetsdatumer vun der CRL wann Dir dee Stadium erreecht. Eng CRL, déi vun der falscher CA ënnerschriwwe gouf, oder eng déi ofgelaf ass ier de Client sech verbonnen huet, produzéiert Verifikatiounsfeeler, déi näischt mam Zertifikat vum Client selwer ze dinn hunn.

E kuerze Runbook fir déi nächst Kéier

Bestätegt als éischt den Transport: Lauschterer do, richteg Adressfamilie, Firewall déi net ofleent. Bestätegt duerno, datt de Service säin Nolauschter-Zoustand erreecht huet andeems Dir de Start-Log liest. An dann, an eréischt dann, kuckt op Handshake-Feeler no Verifikatiouns-Noriichten. Hält déi Rei fest, well all Schrëtt eng ganz Klass vun Ursaachen eliminéiert.

Schreift den Transport, d’opgeléist Destinatioun, de Port an den exakten Feelertext op. Eng Neiinstallatioun vum Client zerstéiert dee Beweis a ännert meeschtens näischt.