Шеесетсекунден TLS тајмаут: која страна всушност запре?

Клиентот се откажува по шеесет секунди со порака за договор за клучеви, а лаптопот не дава мислење зошто. Таа реченица ја опишува трпеливоста на клиентот, а не однесувањето на серверот. Три сосема различни ситуации го предизвикуваат: пакетот никогаш не стигнал до вистинската услуга, услугата го отфрлила пред да регистрира нешто, или услугата го одбила и го кажала тоа некаде каде клиентот не може да го види. Токму поврзувањето на еден обид на двата краја ги одделува.

Дајте му на еден обид идентитет што можете да го барате

Запишете го времето на почеток со неговата временска зона, името на профилот, одредиштето што клиентот навистина го решил, портата и дали врската е UDP или TCP. Ако профилот содржи неколку далечински записи, забележете кој го избрал тој обид, бидејќи повторен обид можеби преминал на следниот запис без да ја промени датотеката што ја читате.

Земете ја крајната точка од активниот дневник, а не од преземањето што го паметите. Профилот што покажува на приватна адреса е целосно валиден и целосно неупотреблив од мрежа што не може да насочува кон неа, и тој случај изгледа исто како сервер што е исклучен.

Потоа побарајте од операторот истиот прозорец на предвидената инстанца. Отстапувањето на часовниците е доволно често што разлика од неколку минути може да направи совпаѓачки настан да изгледа отсутен, затоа запишете го отстапувањето наместо да заклучите дека немало настан.

Четири набљудувања, четири различни следни чекори

Она што серверот го регистрира го одредува гранката. Отсуството на каков било обид укажува на адресирање, транспорт или патеката до услугата. Дојдовните пакети што исчезнуваат пред вообичаена размена укажуваат на барањата на контролниот канал на вистинската услуга. Именуваното одбивање укажува на објектот што го именува. Одговорите што го напуштаат серверот, но никогаш не стигнуваат до клиентот, укажуваат на повратната патека.

Празниот дневник на апликацијата е послаб доказ отколку што изгледа. Евидентирањето започнува во одредена точка од размената, а пакетите отфрлени пред таа точка не оставаат трага во датотеката што ја читате. Каде што е дозволено, операторот може да користи набљудувања на услугата и мрежата за да види дали воопшто нешто пристигнало.

Држете ги четирите исходи одвоени во вашите белешки. Искушението е да ги споите во „серверот не одговара“, а тоа е фразата што ги испраќа луѓето да менуваат шифри кога вистинскиот проблем е правило на огнен ѕид. Белешка што го запишува само зборот тајмаут ја отфрлила разликата за која штотуку плативте.

Поправете ја фазата што ја именуваат доказите

Завршена TCP врска докажува само дека нешто прифатило сокет. Таа не докажува дека слушателот е услугата OpenVPN што ја конфигуриравте, а веб-серверот на истото име на домаќин совршено одговара на прелистувач додека е неважен за тунелот.

Ако серверот пријави истечена листа за отповикување, тоа е далеку поконкретен факт од конечниот тајмаут на клиентот, и поправката им припаѓа на сертификациските власти, а не на мрежата. Ако двата краја не се согласуваат за заштитата на контролниот канал или за заедничкиот материјал, ресетирањето лозинка не менува ништо, бидејќи отфрлањето се случува пред да се провери било кој акредитив.

Променете една работа што доказите навистина ја поддржуваат, потоа повторете го истиот профил кон истата крајна точка. Ако врската оди подалеку, зачувајте го првиот нов настан, бидејќи тој настан е следната фаза од истрагата, а не нов проблем.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Што всушност менува продолжувањето на прозорецот

Шеесет секунди е прозорецот за ракување на клиентот, и референцата за клиентот на заедницата ја документира опцијата што го прилагодува. Неговото зголемување го тера клиентот да чека подолго пред да се откаже. Тоа не прави отсутна услуга да се појави и не прави одбиен пакет прифатлив.

Постои легитимна употреба на подолг прозорец на бавна врска или силно оптоварен сервер, и вреди да се проба кога имате докази дека размената напредува бавно, а не дека воопшто не се случува. Неговото прво пробување само ја одложува истата дијагноза за уште една минута и ја прави временската линија потешка за читање. Ако временската линија покажува размена што напредува и потоа застанува, прозорецот е симптом на оптоварување, а не на достапност.