P_CONTROL_HARD_RESET_CLIENT_V2 am Log: ass dat e Feeler?

D'Linn widderhëlt sech all puer Sekonnen a gesäit aus wéi d'Ursaach vun allem: e Pak mam Numm control hard reset, dat vun engem Client kënnt, deen néierens ukomm. Et ass kee Feeler. Et ass déi éischt Noriicht vun enger neier Sitzung, an d'Widderhuelung ass e Symptom dofir, datt weider hannen eppes anescht feelt. Dat ze trennen, wat d'Etikett seet, vun deem, wat d'Verbindung duerno gemaach huet, ass déi ganz Diagnos.

Den Opcode nennt eng Positioun am Protokoll

OpenVPN multiplizéiert verschidden Zorte vu Pak iwwer een Socket, an den Opcode seet dem Empfänger, wéi eng Zort hien hält. Hard-Reset-Pak maachen eng Sitzung op, Kontrollpak droen Handshake-Material, Bestätegungen bestätegen den Empfang, an Datenpak droen d'Notzlaascht vum Tunnel. Dat éischt Byte liesen weist, wou de Pak an deem Austausch gehéiert, an d'Pakdefinitiounen am Quellcode nennen all Famill explizit.

Dat ass alles, wat en seet. E Pak, deen als initiale Client-Reset etikettéiert ass, beweist, datt de Pak ären Observatiounspunkt erreecht huet an datt de Partner eng Sitzung wëll ufänken. Et beweist net, datt de Client Ärem Certificat vertraut huet, datt seng Umeldungsdaten akzeptéiert goufen oder datt en Datenkanal jeemools brauchbar gouf.

Den Zousaz V2 ass eng Protokollgeneratiounsmarkéierung fir déi Pakfamill, keng Produktversioun a keng Astellung, déi Dir installéiert. Am Numm steet näischt, wat sech op d'Zurécksetzen vun engem Tunnel, de Neistart vun engem Service oder d'Läschen vun engem Cache bezitt.

Wat de Client an deem Abléck wierklech mécht

De Client mécht eng Sitzungsidentifikatioun op, un déi béid Säiten den nächste Kontrolltrafic ukoppelen. Wann de Schutz vum Kontrollkanal konfiguréiert ass, dréit deen éischte Pak schonn den HMAC, dee queesch dem Empfänger entscheede léisst, ob et sech lount, sech mam Rescht vum Austausch ofzeginn. En Empfänger, deen en net prüfe kann, verwerft de Pak roueg, an dowéinst gesäit e falsche gemeinsame Schlëssel aus wéi e Client, deen an d'Leer schwätzt.

Fir de Benotzer ass nach näischt siichtbar geschitt. Et gouf kee Certificat validéiert, kee Benotzernumm ugebueden an eng Tunneladress zougewisen. De Reset ass d'Preambel vum Handshake, dofir ass all Uerteel iwwer d'Verbindung an dësem Punkt verfriemt.

Bei enger idler Reconnect-Schleef ass dat interessant Detail d'Intervall. E Client, dee sech an engem festen Zyklus ouni Fortschrëtt nei probéiert, gëtt meeschtens ofgewisen, ier en weiderkomm, an de Grond steet am Log vum Partner, net am Numm vum Pak.

Wou de richtege Fehler no dem Reset verstoppt ass

Liest déi zwee Loggen niefteneen an fannt dat éischt Evenement, dat keen Reset ass. Beim Client gëtt e Certificatsprüfungsfehler mam konkrete Grond gemellt: en ofgelafene Certificat, eng Nummofwäichung oder en onbekannten Aussteller. Beim Server gëtt eng Oflehnung vun den Umeldungsdaten als Authentifikatiounsfehler mat sengem eegene Grond gemellt. Béides ass villes méi konkret wéi dem Server seng widderhuelte Vue op nei Versich.

Passt ee Versuch iwwer den Zäitstempel un, amplaz all Log eenzel ze liesen, well dee selwechte Fehler op béide Plaze mat anere Wierder an anerer Gravitéit erschéngt. De Partner, deen opgëtt, seet meeschtens firwat.

Wann keng Säit eng Oflehnung mellt an den Austausch trotzdeem stockt, ass d'Grenz d'Erreechbarkeet an net d'Vertrauen. Eng Firewall, déi d'Réckrichtung verwërft, en Apparat fir d'Iwwersetze vun Netzwierkadressen, deem seng Kartéierung ofleeft, oder en MTU-Problem, dat méi grouss Handshake-Pak ëmbréngt, produzéieren all en stockenden Austausch ganz ouni Authentifikatiounsfehler.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Déi Sich ass fir sech keng Diagnos, awer se bréngt Iech an engem Schrëtt vum Protokollvokabular zu enger richteger Feelerklass.

Firwat d'Prüfung ofzeschalten de falsche Reflex ass

Wann de Reset weider erschéngt, ass déi séierst ausgesinn Korrektur d'Certificatsprüfung ofzeschalten oder de Schutz vum Kontrollkanal opzeginn, sou datt eppes sech verbënnt. Dat tauscht en diagnostizéierbare Fehler géint en net diagnostizéierbaren an hannerléisst d'Deployement, Partner unzehuelen, fir déi et gebaut gouf se ofzeweisen.

Ännert amplaz déi Grenz, déi wierklech versot huet. E Vertrauensproblem gehéiert zur Certificatsautoritéit an zum Profil, dee se referenzéiert. En Zäitproblem gehéiert zur Auer. En Umeldungsproblem gehéiert zum Authentifikatiouns-Backend, deen en ofgewisen huet, an en onereechbare Partner gehéiert zum Wee tëscht den zwou Hosts.

Den Opcode ass an engem Supportgespréich fir eng Saach nëtzlech: en seet Iech, datt de Partner wäit genuch komm ass, fir et ze probéieren. Wat duerno geschitt ass, dat musst Dir wëssen, an et steet an deem Log, deen déi éischt konkret Oflehnung festhält. Fänkt do un, an d'Reset-Linn hält op wéi eng Ursaach auszegesinn a fänkt un wéi en Zäitstempel auszegesinn.