Šešiasdešimties sekundžių TLS laiko limitas: kuri pusė iš tikrųjų sustojo?

Klientas pasiduoda po šešiasdešimties sekundžių su pranešimu apie raktų derinimą, o nešiojamasis kompiuteris neturi nuomonės, kodėl. Tas sakinys aprašo kliento kantrybę, o ne serverio elgesį. Jį sukelia trys visiškai skirtingos situacijos: paketas niekada nepasiekė tinkamos paslaugos, paslauga jį išmetė prieš ką nors užregistruodama, arba paslauga jį atmetė ir pasakė tai ten, kur klientas negali matyti. Būtent vieno bandymo abiejuose galuose sugretinimas juos atskiria.

Suteikite vienam bandymui identitetą, kurio galite ieškoti

Užsirašykite pradžios laiką su jo laiko juosta, profilio pavadinimą, tikslą, kurį klientas iš tikrųjų išsprendė, prievadą ir tai, ar ryšys yra UDP, ar TCP. Jei profilyje yra keli nuotoliniai įrašai, pažymėkite, kurį pasirinko tas bandymas, nes pakartotinis bandymas galėjo pereiti prie kito įrašo nepakeisdamas failo, kurį skaitote.

Paimkite galinį tašką iš aktyvaus žurnalo, o ne iš atsisiuntimo, kurį prisimenate. Profilis, nukreiptas į privatų adresą, yra visiškai galiojantis ir visiškai netinkamas naudoti iš tinklo, kuris negali maršrutizuoti į jį, ir tas atvejis atrodo taip pat kaip serveris, kuris neveikia.

Tada paprašykite operatoriaus to paties lango numatytame egzemplioriuje. Laikrodžių skirtumas yra pakankamai dažnas, kad kelių minučių poslinkis gali priversti atitinkamą įvykį atrodyti nesantį, todėl užrašykite poslinkį, o ne darykite išvadą, kad įvykio nebuvo.

Keturi stebėjimai, keturi skirtingi tolesni žingsniai

Tai, ką serveris registruoja, nulemia šaką. Bet kokio bandymo nebuvimas rodo adresavimą, transportavimą ar kelią į paslaugą. Atvykstantys paketai, dingstantys prieš įprastą mainą, rodo faktinės paslaugos valdymo kanalo reikalavimus. Įvardytas atsisakymas rodo objektą, kurį jis įvardija. Atsakymai, kurie palieka serverį, bet niekada nepasiekia kliento, rodo grįžimo kelią.

Tuščias programos žurnalas yra silpnesnis įrodymas, nei atrodo. Registravimas prasideda tam tikrame mainų taške, o prieš tą tašką išmesti paketai nepalieka pėdsakų faile, kurį skaitote. Ten, kur tai leidžiama, operatorius gali naudoti paslaugos ir tinklo stebėjimus, kad pamatytų, ar apskritai kas nors atvyko.

Laikykite keturis rezultatus atskirai savo užrašuose. Pagunda yra sujungti juos į „serveris neatsako“, ir būtent ši frazė siunčia žmones keisti šifrus, kai tikroji problema yra ugniasienės taisyklė. Užrašas, kuriame įrašytas tik žodis laiko limitas, išmetė skirtumą, už kurį ką tik sumokėjote.

Pataisykite etapą, kurį įvardija įrodymai

Užbaigtas TCP ryšys įrodo tik tai, kad kažkas priėmė lizdą. Jis neįrodo, kad klausytojas yra jūsų sukonfigūruota OpenVPN paslauga, o žiniatinklio serveris tame pačiame pagrindinio kompiuterio varde puikiai atsako naršyklei, nors tuneliui jis nesvarbus.

Jei serveris praneša apie pasibaigusį atšaukimo sąrašą, tai yra daug konkretesnis faktas nei galutinis kliento laiko limitas, ir pataisa priklauso sertifikavimo institucijai, o ne tinklui. Jei du galai nesutaria dėl valdymo kanalo apsaugos ar bendros medžiagos, slaptažodžio atstatymas nieko nekeičia, nes atmetimas įvyksta prieš patikrinant bet kokius prisijungimo duomenis.

Pakeiskite vieną dalyką, kurį įrodymai tikrai palaiko, tada pakartokite tą patį profilį su tuo pačiu galiniu tašku. Jei ryšys nueina toliau, išsaugokite pirmąjį naują įvykį, nes tas įvykis yra kitas tyrimo etapas, o ne nauja problema.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Ką iš tikrųjų keičia lango pratęsimas

Šešiasdešimt sekundžių yra kliento rankos paspaudimo langas, o bendruomenės kliento nuoroda dokumentuoja parinktį, kuri jį koreguoja. Jį padidinus klientas laukia ilgiau, kol pasiduoda. Tai nepriverčia neesančios paslaugos atsirasti ir nepadaro atmesto paketo priimtinu.

Ilgesnis langas turi teisėtą naudojimą lėtoje jungtyje ar labai apkrautame serveryje, ir verta jį išbandyti, kai turite įrodymų, kad mainai juda lėtai, o ne kad jie visai nevyksta. Išbandžius jį pirmiausia, ta pati diagnozė tik atidedama dar minutei, o laiko juosta tampa sunkiau skaitoma. Jei laiko juosta rodo mainus, kurie juda į priekį ir tada sustoja, langas yra apkrovos simptomas, o ne pasiekiamumo.