Sešdesmit sekunžu TLS taimauts: kura puse īsti apstājās?

Klients pēc sešdesmit sekundēm padodas ar ziņojumu par atslēgu sarunām, un klēpjdators neizsaka viedokli par iemeslu. Šis teikums apraksta klienta pacietību, nevis servera uzvedību. To rada trīs pilnīgi atšķirīgas situācijas: pakete nekad nesasniedza pareizo pakalpojumu, pakalpojums to izmeta pirms kaut kā reģistrēšanas, vai pakalpojums to noraidīja un pateica to vietā, kur klients to nevar redzēt. Tieši viena mēģinājuma salīdzināšana abos galos tos atšķir.

Piešķiriet vienam mēģinājumam identitāti, ko varat meklēt

Pierakstiet sākuma laiku ar tā laika joslu, profila nosaukumu, galamērķi, ko klients faktiski atrisināja, portu un to, vai savienojums ir UDP vai TCP. Ja profilā ir vairāki attālināti ieraksti, atzīmējiet, kuru šis mēģinājums izvēlējās, jo atkārtots mēģinājums varēja pāriet uz nākamo ierakstu, nemainot failu, ko lasāt.

Ņemiet galapunktu no aktīvā žurnāla, nevis no lejupielādes, ko atceraties. Profils, kas norāda uz privātu adresi, ir pilnīgi derīgs un pilnīgi neizmantojams no tīkla, kas nevar maršrutēt uz to, un šis gadījums izskatās tieši tāpat kā serveris, kas ir izslēgts.

Pēc tam palūdziet operatoram to pašu logu paredzētajā instancē. Pulksteņu novirze ir pietiekami izplatīta, lai dažu minūšu starpība varētu likt atbilstošam notikumam izskatīties neesošam, tāpēc pierakstiet starpību, nevis seciniet, ka notikuma nebija.

Četri novērojumi, četras atšķirīgas nākamās darbības

Tas, ko serveris reģistrē, nosaka zaru. Jebkura mēģinājuma neesamība norāda uz adresāciju, transportu vai ceļu uz pakalpojumu. Ienākošās paketes, kas pazūd pirms parastas apmaiņas, norāda uz faktiskā pakalpojuma vadības kanāla prasībām. Nosaukta atteikšana norāda uz objektu, ko tā nosauc. Atbildes, kas atstāj serveri, bet nekad nesasniedz klientu, norāda uz atgriešanās ceļu.

Tukšs lietojumprogrammas žurnāls ir vājāks pierādījums, nekā izskatās. Reģistrēšana sākas noteiktā apmaiņas punktā, un pirms šī punkta izmestās paketes failā, ko lasāt, neatstāj nekādas pēdas. Kur tas ir atļauts, operators var izmantot pakalpojuma un tīkla novērojumus, lai redzētu, vai vispār kaut kas ieradās.

Turiet četrus rezultātus atsevišķi savos pierakstos. Kārdinājums ir tos sapludināt „serveris neatbild“, un tieši šī frāze sūta cilvēkus mainīt šifrus, kad īstā problēma ir ugunsmūra noteikums. Pieraksts, kurā ierakstīts tikai vārds taimauts, ir izmetis atšķirību, par ko tikko samaksājāt.

Izlabojiet posmu, ko nosauc pierādījumi

Pabeigts TCP savienojums pierāda tikai to, ka kaut kas pieņēma ligzdu. Tas nepierāda, ka klausītājs ir jūsu konfigurētais OpenVPN pakalpojums, un tīmekļa serveris tajā pašā resursdatora nosaukumā lieliski atbild pārlūkam, kamēr tunelim tas nav svarīgs.

Ja serveris ziņo par beigušos atsaukšanas sarakstu, tas ir daudz konkrētāks fakts nekā klienta galīgais taimauts, un labojums pieder sertifikācijas iestādei, nevis tīklam. Ja abi gali nevienojas par vadības kanāla aizsardzību vai koplietotu materiālu, paroles atiestatīšana neko nemaina, jo izmešana notiek pirms jebkuru akreditācijas datu pārbaudes.

Mainiet vienu lietu, ko pierādījumi patiešām atbalsta, pēc tam atkārtojiet to pašu profilu pret to pašu galapunktu. Ja savienojums virzās tālāk, saglabājiet pirmo jauno notikumu, jo šis notikums ir nākamais izmeklēšanas posms, nevis jauna problēma.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Ko patiešām maina loga pagarināšana

Sešdesmit sekundes ir klienta rokasspiediena logs, un kopienas klienta uzziņa dokumentē opciju, kas to pielāgo. Tā palielināšana liek klientam gaidīt ilgāk, pirms padoties. Tā neļauj neesošam pakalpojumam parādīties un nepadara noraidītu paketi pieņemamu.

Ilgākam logam ir likumīga izmantošana lēnā savienojumā vai ļoti noslogotā serverī, un to ir vērts izmēģināt, kad jums ir pierādījumi, ka apmaiņa virzās lēni, nevis nenotiek vispār. Tā izmēģināšana vispirms tikai atliek to pašu diagnozi vēl par minūti un padara laika skalu grūtāk lasāmu. Ja laika skala rāda apmaiņu, kas virzās uz priekšu un pēc tam apstājas, logs ir slodzes simptoms, nevis sasniedzamības.