P_CONTROL_HARD_RESET_CLIENT_V2 žurnālā: vai tā ir kļūda?

Rinda atkārtojas ik pēc dažām sekundēm un izskatās kā visa cēlonis: pakete ar nosaukumu control hard reset, kas nāk no klienta, kurš nekur nenokļūst. Tā nav kļūda. Tā ir jaunas sesijas pirmā ziņa, un atkārtošanās ir simptoms tam, ka tālāk neizdodas kaut kas cits. Atdalīt to, ko saka etiķete, no tā, ko savienojums izdarīja pēc tam, ir visa diagnoze.

Operācijas kods nosauc vietu protokolā

OpenVPN multipleksē vairākus pakešu veidus vienā ligzdā, un operācijas kods pasaka uztvērējam, kādu veidu tas tur. hard-reset paketes atver sesiju, vadības paketes pārnēsā rokas paspiešanas materiālu, apstiprinājumi apstiprina uztveršanu, un datu paketes pārnēsā tuneļa kravu. Pirmās baitas nolasīšana parāda, kur šajā apmaiņā pakete iederas, un avota koda pakešu definīcijas nosauc katru saimi skaidri.

Tas ir viss, ko tā saka. Pakete, kas atzīmēta kā klienta sākotnējā atiestatīšana, pierāda, ka pakete sasniedza jūsu novērošanas punktu un ka partneris vēlas sākt sesiju. Tā nepierāda, ka klients uzticējās jūsu sertifikātam, ka tā akreditācijas dati tika pieņemti vai ka datu kanāls kādreiz kļuva lietojams.

Piedēklis V2 ir šīs pakešu saimes protokola paaudzes marķieris, nevis produkta versija un nevis iestatījums, ko jūs instalējat. Nosaukumā nekas neattiecas uz tuneļa atiestatīšanu, pakalpojuma restartēšanu vai kešatmiņas tīrīšanu.

Ko klients tajā brīdī faktiski dara

Klients atver sesijas identifikatoru, pie kura abas puses piesaistīs turpmāko vadības datplūsmu. Kad vadības kanāla aizsardzība ir konfigurēta, šī pirmā pakete jau pārnēsā HMAC, kas ļauj uztvērējam izlemt, vai ir vērts ieguldīt pūles apmaiņas atlikušajā daļā. Uztvērējs, kas to nevar pārbaudīt, paketi klusi izmet, tāpēc nepareiza koplietotā atslēga izskatās kā klients, kas runā tukšumā.

Lietotājam nekas redzams vēl nav noticis. Neviens sertifikāts nav validēts, neviens lietotājvārds nav piedāvāts un neviena tuneļa adrese nav piešķirta. Atiestatīšana ir rokas paspiešanas ievads, tāpēc jebkurš spriedums par savienojumu šajā brīdī ir pāragrs.

Dīkstāves atkārtotas savienošanas cilpā interesantā detaļa ir intervāls. Klients, kas atkārtoti mēģina fiksētā ciklā bez progresa, parasti tiek noraidīts, pirms tas var virzīties tālāk, un iemesls ir partnera žurnālā, nevis paketes nosaukumā.

Kur pēc atiestatīšanas slēpjas īstā kļūme

Lasiet abus žurnālus līdzās un atrodiet pirmo notikumu, kas nav atiestatīšana. Klientā sertifikāta validācijas kļūme tiek ziņota ar konkrētu iemeslu: beidzies sertifikāts, nosaukuma neatbilstība vai nezināms izdevējs. Serverī akreditācijas datu noraidījums tiek ziņots kā autentifikācijas kļūme ar savu iemeslu. Abi ir daudz konkrētāki nekā servera atkārtotais skats uz jauniem mēģinājumiem.

Saskaņojiet vienu mēģinājumu pēc laika zīmoga, nevis lasiet katru žurnālu atsevišķi, jo tā pati kļūme parādās abās vietās ar citiem vārdiem un citu smagumu. Partneris, kas padodas, parasti pasaka kāpēc.

Ja neviena puse neziņo par noraidījumu un apmaiņa joprojām apstājas, robeža ir sasniedzamība, nevis uzticēšanās. Ugunsmūris, kas izmet atpakaļvirzienu, tīkla adrešu tulkošanas ierīce, kurai beidzas kartējums, vai MTU problēma, kas nogalina lielākās rokas paspiešanas paketes, visas rada apstājušos apmaiņu bez jebkādas autentifikācijas kļūdas.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Šis meklējums pats par sevi nav diagnoze, bet tas vienā solī pārvieto jūs no protokola vārdu krājuma uz īstu kļūmju klasi.

Kāpēc pārbaudes izslēgšana ir nepareiza reakcija

Kad atiestatīšana turpina parādīties, visātrāk izskatīgais labojums ir izslēgt sertifikātu validāciju vai atteikties no vadības kanāla aizsardzības, lai kaut kas savienotos. Tas apmaina diagnosticējamu kļūmi pret nediagnosticējamu un atstāj izvietojumu pieņemam partnerus, kuru noraidīšanai tas tika būvēts.

Tā vietā mainiet robežu, kas faktiski neizdevās. Uzticēšanās problēma pieder sertifikātu iestādei un profilam, kas uz to atsaucas. Laika problēma pieder pulkstenim. Akreditācijas datu problēma pieder autentifikācijas aizmugurei, kas tos noraidīja, un nesasniedzamais partneris pieder ceļam starp abiem resursdatoriem.

Operācijas kods atbalsta sarunā ir noderīgs vienā lietā: tas pasaka, ka partneris ir aizgājis pietiekami tālu, lai pamēģinātu. Tas, kas notika pēc tam, ir tas, kas jums jāzina, un tas ir pierakstīts tajā žurnālā, kas fiksē pirmo konkrēto noraidījumu. Sāciet tur, un atiestatīšanas rinda pārstāj izskatīties kā cēlonis un sāk izskatīties kā laika zīmogs.