Sechzeg-Sekonnen-TLS-Timeout: wéi eng Säit huet tatsächlech opgehal?

De Client gëtt no sechzeg Sekonnen op mat enger Noriicht iwwer Schlësselverhandlung, an de Laptop huet keng Meenung firwat. Dee Saz beschreift d'Gedold vum Client, net d'Verhalen vum Server. Dräi ganz ënnerschiddlech Situatiounen erzéien en: de Paket huet ni dee richtege Service erreecht, de Service huet en ewechgeheit ier en eppes loggt, oder de Service huet en ofgelehnt an dat uewendriwwer gesot, wou de Client et net ka gesinn. Genau d'Korrelatioun vun engem Versuch op béide Säiten trennt se.

Gitt engem Versuch eng Identitéit, no där Dir siche kënnt

Schreift d'Startzäit mat hirer Zäitzon op, den Numm vum Profil, d'Destinatioun, déi de Client tatsächlech opgeléist huet, de Port, an ob d'Verbindung UDP oder TCP ass. Wann de Profil e puer Fernanträg huet, notéiert wéi een dee Versuch gewielt huet, well en neien Versuch op den nächsten Antrag geplënnert ka sinn, ouni d'Datei z'änneren, déi Dir liest.

Huelt den Endpunkt aus dem aktive Log, net aus dem Download un deen Dir Iech erënnert. E Profil, deen op eng privat Adress weist, ass komplett gülteg a komplett onbrauchbar aus engem Netz, dat net dohi routere kann, an dee Fall gesäit genee esou aus wéi e Server, deen erof ass.

Frot dann den Operateur no deem selwechte Fënster op der geplangter Instanz. D'Klackendifferenz ass heefeg genuch, datt e puer Minutten Ënnerscheed en entspriechend Evenement als feelend erschéngen, also notéiert den Ënnerscheed anstatt ze schléissen, et wier keen Evenement.

Véier Observatiounen, véier aner nächst Schrëtt

Wat de Server festhält, entscheet den Ast. D'Feele vun all Versuch weist op Adresséierung, Transport oder de Wee zum Service. Antreffend Paketen, déi virun engem gewéinlechen Austausch verschwannen, weisen op d'Ufuerderunge vum Kontrollkanal vum eigentleche Service. Eng benannt Oflehnung weist op dat Objet, dat se nennt. Äntwerten, déi de Server verloossen, awer ni beim Client ukommen, weisen op de Réckwee.

En eidelt Applikatiounslog ass méi schwaach Beweis wéi et ausgesäit. D'Loggen fänkt op engem bestëmmte Punkt vum Austausch un, a Paketen, déi virun deem Punkt ewechgeheit ginn, hannerloossen eng Spuer an der Datei, déi Dir liest. Wou et erlaabt ass, ka den Operateur Service- a Netzwäerksobservatiounen notzen, fir ze gesinn, ob iwwerhaapt eppes ukomm ass.

Halt déi véier Resultater getrennt an Ären Notizen. D'Versuchung ass, se zu «de Server äntwert net» ze verschmelzen, an dat ass de Saz, deen d'Leit Schiferen änneren schéckt, wann de richtege Problem eng Firewallregel ass. Eng Notiz, déi nëmmen d'Wuert Timeout festhält, huet deen Ënnerscheed ewechgeheit, fir deen Dir just bezuelt hutt.

Fleekt déi Phase, déi d'Beweiser nennen

Eng fäerdeg TCP-Verbindung beweist just, datt eppes e Socket ugeholl huet. Se beweist net, datt de Lister den OpenVPN-Service ass, deen Dir konfiguréiert hutt, an e Webserver op deem selwechten Hostnumm äntwert engem Browser perfekt, wärend en fir den Tunnel irrelevant ass.

Wann de Server eng ofgelaf Widderrufflëscht mëttelt, ass dat e vill méi spezifesche Fakt wéi den eventuelle Timeout vum Client, an d'Korrektur gehéiert zur Zertifizéierungsautoritéit an net zum Netz. Wann déi zwou Säiten sech net iwwer de Schutz vum Kontrollkanal oder gemengt Material eens sinn, ännert e Passwuert zrécksetzen näischt, well d'Verwerfe geschitt, ier iergendeng Authentifikatioun gepréift gëtt.

Ännert eng Saach, déi d'Beweiser wierklech ënnerstëtzen, a widderhuelt dann dee selwechte Profil géint dee selwechten Endpunkt. Halt dat éischt neit Evenement, wann d'Verbindung méi wäit kënnt, well dat Evenement ass déi nächst Etapp vun der Enquête, net e neie Problem.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Wat d'Verlängerung vum Fënster tatsächlech ännert

Sechzeg Sekonnen ass d'Handshake-Fënster vum Client, an d'Community-Clientreferenz dokumentéiert d'Optioun, déi se ajustéiert. Se erhéijen lässt de Client méi laang waarden, ier en opgëtt. Et léisst keen absent Service erschéngen an et mécht e refuséierte Paket net akzeptabel.

Et gëtt eng legitim Notzung fir eng méi laang Fënster op enger lueser Verbindung oder engem staark belaaschte Server, an et ass derwäert, se ze probéieren, wann Dir Beweiser hutt, datt den Austausch lues virukënnt an net iwwerhaapt net geschitt. Se als éischt ze probéieren, verzögert just déiselwecht Diagnos nach eng Minutt a mécht d'Zäitlinn schwéier ze liesen. Wann d'Zäitlinn en Austausch weist, dee virukënnt an dann stockt, ass d'Fënster e Symptom vun der Belaaschtung an net vun der Erreechbarkeet.