OpenVPN: TLS rankos paspaudimas nepavyko – kurioje šakoje esate?

Eilutė, kuri sako, kad TLS rankos paspaudimas nepavyko, yra istorijos pabaiga, o ne pradžia. Svarbiausia yra įvykis prieš pat jį, nes tas įvykis įvardija, kuri iš keturių labai skirtingų gedimų jūs turite. Laiko laukimas, valdymo kanalo neatitikimas, sertifikato atmetimas ir gedimas po derybų visi sukuria tą pačią antraštę. Pasirinkite šaką pagal įrodymus, ir pataisa nebebus spėjimas.

Perskaitykite paskutinį įvykį prieš gedimą

Slinkite aukštyn, o ne skaitykite paskutinę eilutę. Įvykis prieš atsijungimą paprastai įvardija etapą: jokio atsakymo, klaida keičiantis valdymo paketams, patikrinimo rezultatas arba sėkmingos derybos, po kurių pateikiamas autentifikacijos rezultatas. Kiekvienas jų priklauso kitam savininkui. Ta viena eilutė nusprendžia, kuri dalis žemiau taikoma.

Išsaugokite klaidos tekstą su kliento versija, galiniu tašku ir transportu. Raktus, slaptažodžius ir nesuredaguotus profilius laikykite atokiai nuo visko, ką viešai įklijuojate.

Tiksli pirmoji klaida vertingesnė už ilgą žurnalo išrašą. Ji įvardija etapą, o etapas įvardija savininką.

Pirmoji šaka: nieko negrįžo

Jei klientas išsiuntė savo pirmąjį paketą ir negavo nieko naudingo, problema yra kelyje arba pas klausytoją. Patvirtinkite, kad profilis atitinka operatoriaus tikrai siūlomą parinktį: adresas, prievadas ir UDP arba TCP. Tada patikrinkite, ar galinis taškas apskritai pasiekiamas iš šio tinklo. Užsirašykite, kuri iš šių dviejų patikrų nepavyko, prieš tęsdami.

Naršyklė, įkelianti puslapį tuo pačiu hosname, įrodo tik tai, kad žiniatinklio paslauga atsakė. Net priimtas TCP ryšys nieko nesako apie tai, ar OpenVPN baigė derybas.

Jei profilis veikia kitame patikimame tinkle, išsaugokite tą palyginimą. Jis lokalizuoja apribojimą kelyje arba tarpinėje grandyje.

Antroji šaka: valdymo kanalas nesutampa

Kai mainai prasideda ir tada sustoja, valdymo kanalo nustatymai yra pirmasis įtariamasis. tls-auth ir tls-crypt turi atitikti diegimą, o medžiaga iš kito serverio neduos naudingų mainų. Šis gedimas įvyksta prieš bet kokį prisijungimą prie paskyros. Profilis, nukopijuotas iš senesnio serverio, yra įprastas šaltinis.

Slaptažodžio atkūrimas nepakeičia tų nustatymų, o rakto skolinimasis iš kitos paslaugos nėra suderinamumo pataisa. Gaukite profilį operatoriaus patikrintu kanalu ir užsirašykite kliento versiją, kurios jis tikisi.

Užregistruokite konkrečią derybų klaidą, o ne įjunkite krūvą senesnių algoritmų, kad pamatytumėte, kas laikosi. Užfiksuotas klaidos tekstas yra tai, kas leidžia operatoriui patikrinti savo pusę.

Trečioji šaka: sertifikatas buvo atmestas

Aiškus patikrinimo gedimas įvardija sertifikatą, kuris jam nepatinka. Pirmiausia patikrinkite įrenginio laikrodį, tada perskaitykite, kuris objektas nepavyko: serverio sertifikatas, kliento sertifikatas arba grandinės išdavėjas. Galiojimo pabaiga, nepatikimas išdavėjas ir netikėta tapatybė yra trys skirtingi pranešimai.

Laikykite patikrinimą įjungtą, kol gaunate pataisytą medžiagą. Priėmus nesusijusį sertifikatą klaida pašalinama, bet neįrodoma, kad pasiekėte numatytą serverį.

Užsirašykite, ar gedimas seka tinklą, ar profilį. Visur pasirodanti sertifikato klaida nėra kelio problema.

Ketvirtoji šaka: derybos baigėsi, o kažkas kita nepavyko

Kai tapatybės mainai pavyksta, likęs gedimas priklauso autentifikacijai arba maršrutizavimui. Aiškus paskyros atmetimas yra autentifikacijos klausimas, o prijungtas tunelis su nepasiekiamomis svetainėmis yra maršrutizavimo arba DNS klausimas. Toliau keisti TLS parinktis tuo metu reiškia žaloti etapą, kuris jau veikė.

Kai pranešate apie problemą, pasakykite, ar nepavyksta kiekvienas tinklas, ar veikia kitas profilis ir ar serveris užfiksavo bandymą. Tyla serverio pusėje ir atmetimas iš jo pusės stovi skirtingose ribose.