Atraidīts savienojums nav sertifikāta problēma: VPN darbības rokasgrāmata

Klients saka, ka savienojums atraidīts uzreiz pēc tam, kad atjaunojāt CRL, tāpēc CRL izskatās vainīgs. Tas tā nav. Atraidījums ir transporta slāņa atbilde, un sertifikāta pārbaude notiek vēlāk, tuneļa rokas sasveicināšanās laikā. Laika sakritība ir konteksts, nevis pierādījums.

Divas pārbaudes atdala gadījumus mazāk nekā minūtē, un neviena no tām neaizskar uzticības iestatījumus.

Lasiet kļūdu tajā slānī, kurš to radīja

ECONNREFUSED no connect nozīmē, ka transporta mēģinājums tika atraidīts: kaut kas atbildēja ar reset, vai steks ziņoja par nesasniedzamu portu. Sertifikāta problēma nevar radīt šo kļūdu, jo TLS rokas sasveicināšanās nekad nesākas bez transporta savienojuma. Ja redzat atraidījumu, klients nekad nav nonācis līdz sertifikāta uzrādīšanai. Šis vienīgais fakts izslēdz atsaukšanu kā cēloni.

Ir spēkā arī pretējais. Atsaukts sertifikāts rada pabeigtu TCP savienojumu un neizdevušos rokas sasveicināšanos, kas serverī tiek reģistrēta kā pārbaudes kļūda.

TCP atraidījums: neviens neklausās

TCP gadījumā pārbaudiet, vai paredzētā instance darbojas un ir piesaistīta profila adresei un portam. ss -lntp parāda klausītājus, un to neesamība ir ierastais skaidrojums. Ugunsmūris, kas atraidē, nevis nomet, rada to pašu ziņojumu klienta pusē, tāpēc pārbaudāt abus.

Pārbaudiet arī adrešu saimi. Pakalpojums, kas piesaistīts 127.0.0.1 vai tikai IPv6, atraidīs klientu, kas izšķiras uz otru.

Pēc tam lasiet pakalpojuma žurnālu, nevis miniet. Restartēšana pēc CA apkopes var neizdoties nelasāmā vai trūkstošā failā un nekad nesasniegt klausīšanās stāvokli, un žurnāls nosauc failu. Tā ir palaišanas kļūda, cita kļūda nekā atraidīts sertifikāts.

UDP nav rokas sasveicināšanās, ko atraidīt

OpenVPN pāri UDP neveido savienojumu TCP nozīmē, tāpēc connect laikā nav ko atraidīt. Linux sistēmā UDP ligzdas parādītā kļūda var nākt no ICMP port-unreachable, ko radījis agrāks datagramma. udp(7) rokasgrāmatas lapa apraksta šo asinhrono uzvedību.

Tāpēc UDP klients var izdrukāt atraidījumu, kamēr servera process darbojas, bet nav piesaistīts gaidītajai adresei.

Kur CRL faktiski tiek pārbaudīts

CRL tiek konsultēts TLS rokas sasveicināšanās laikā, pēc tam kad pretējā puse uzrāda savu sertifikātu, un tikai tad, ja servera konfigurācija to atļauj. OpenVPN opcija crl-verify norāda uz failu, un neizdošanās servera žurnālā parādās kā pārbaudes kļūda, nosaucot sertifikātu.

Tāpēc atsaukts klients izveido savienojumu transporta slānī un pēc tam neizdodas autentifikācijā. Tas pats serveris, tas pats ports, pilnīgi cita ziņa.

Kad nonāksit līdz šim posmam, pārbaudiet CRL izdevēju un derīguma datumus. CRL, ko parakstījis nepareizais CA, vai tas, kas beidzies pirms klienta savienojuma, rada pārbaudes kļūdas, kurām nav nekāda sakara ar paša klienta sertifikātu.

Īsa rokasgrāmata nākamajai reizei

Vispirms apstipriniet transportu: klausītājs ir, pareizā adrešu saime, ugunsmūris neatraidē. Pēc tam apstipriniet, ka pakalpojums ir sasniedzis klausīšanās stāvokli, izlasot palaišanas žurnālu. Un tikai pēc tam skatieties rokas sasveicināšanās kļūdas, meklējot pārbaudes ziņojumus. Saglabājiet šo secību fiksētu, jo katrs solis izslēdz veselu cēloņu klasi.

Pierakstiet transportu, atrisināto galamērķi, portu un precīzo kļūdas tekstu. Klienta pārinstalēšana iznīcina šo pierādījumu un parasti neko nemaina.