Холболт татгалзах нь сертификатын асуудал биш: VPN-ийн ажлын заавар

CRL-ийг дахин үүсгэсний дараа шууд холболт татгалзсан гэж клиент хэлдэг тул CRL гэмтэн мэт харагдана. Тийм биш. Татгалзал нь тээврийн түвшний хариулт бөгөөд сертификатын баталгаажуулалт дараа нь, туннелийн гар барилтын дотор явагдана. Цагийн давхцал нь нөхцөл байдал, баталгаа биш.

Хоёр шалгалт тохиолдлуудыг нэг минутаас бага хугацаанд ялгаж, аль нь ч итгэлцлийн тохиргоог хөндөхгүй.

Алдааг үүсгэсэн түвшин дээр нь уншаарай

connect-ээс ирсэн ECONNREFUSED нь тээврийн оролдлогоос татгалзсаныг илэрхийлнэ: ямар нэг зүйл reset-ээр хариулсан, эсвэл стек хүрэх боломжгүй порт мэдээлсэн. Сертификатын асуудал энэ алдааг үүсгэж чадахгүй, учир нь тээврийн холболтгүйгээр TLS гар барилт хэзээ ч эхлэхгүй. Татгалзал харвал клиент сертификат үзүүлэх шатанд хүрээгүй байна. Энэ ганц баримт хүчингүй болгохыг шалтгаан гэж үгүйсгэнэ.

Эсрэг нь ч үнэн. Хүчингүй болсон сертификат бүрэн TCP холболт ба бүтэлгүй гар барилт үүсгэж, серверт баталгаажуулалтын алдаа гэж бичигдэнэ.

TCP татгалзал: хэн ч сонсохгүй байна

TCP-ийн хувьд зорьсон инстанс ажиллаж байгаа эсэх, профайл дахь хаяг, портод холбогдсон эсэхийг шалгана. ss -lntp сонсогчдыг харуулдаг бөгөөд тэдгээрийн байхгүй байх нь ерийн тайлбар юм. Хаяхын оронд татгалздаг галт хана клиентийн талд мөн ижил мессеж үүсгэдэг тул хоёуланг нь шалгана.

Хаягийн бүлгийг ч шалгаарай. 127.0.0.1 эсвэл зөвхөн IPv6-д холбогдсон үйлчилгээ нөгөө рүү шийдэгддэг клиентээс татгалзана.

Дараа нь таамаглахын оронд үйлчилгээний логыг уншаарай. CA-ийн засварын дараах дахин эхлүүлэлт уншигдахгүй эсвэл байхгүй файл дээр бүтэлгүй болж, сонсох төлөвт хэзээ ч хүрэхгүй байж болно, лог файлын нэрийг заана. Энэ нь эхлүүлэлтийн алдаа, татгалзсан сертификатаас өөр алдаа.

UDP-д татгалзах гар барилт байхгүй

UDP-ээр OpenVPN нь TCP утгаар холболт тогтоодоггүй тул connect үед татгалзах зүйл байхгүй. Linux дээр UDP сокетийн харуулсан алдаа өмнөх датаграммаас үүссэн ICMP port-unreachable-ээс ирж болно. udp(7) гарын авлагын хуудас энэ асинхрон зан төлөвийг тайлбарладаг.

Тиймээс UDP клиент серверийн процесс ажиллаж байгаа ч хүлээгдэж буй хаягт холбогдоогүй үед татгалзал хэвлэж болно.

CRL үнэхээр хаана шалгагддаг вэ

CRL-ийг TLS гар барилтын үеэр, эсрэг тал өөрийн сертификатыг үзүүлсний дараа, зөвхөн серверийн тохиргоо зөвшөөрсөн тохиолдолд асууна. OpenVPN-ийн crl-verify сонголт файл руу заадаг бөгөөд бүтэлгүйтэл серверийн лог дээр сертификатыг нэрлэсэн баталгаажуулалтын алдаа болж гарч ирнэ.

Тиймээс хүчингүй болсон клиент тээврийн түвшинд холбогдож, дараа нь баталгаажуулалтад бүтэлгүйтнэ. Ижил сервер, ижил порт, огт өөр мессеж.

Тэр шатанд хүрэхдээ CRL-ийн гаргагч болон хүчинтэй хугацааг шалгаарай. Буруу CA-аар гарын үсэг зурсан CRL, эсвэл клиент холбогдохоос өмнө хугацаа дууссан CRL нь клиентийн өөрийн сертификаттай ямар ч холбоогүй баталгаажуулалтын алдаа үүсгэдэг.

Дараагийн удаагийн богино заавар

Эхлээд тээврийг баталгаажуул: сонсогч байна, хаягийн бүлэг зөв, галт хана татгалзахгүй. Дараа нь эхлүүлэлтийн логыг уншиж үйлчилгээ сонсох төлөвт хүрснийг баталгаажуул. Зөвхөн дараа нь баталгаажуулалтын мессеж хайж гар барилтын алдааг хар. Энэ дарааллыг тогтмол баримтал, учир нь алхам бүр шалтгааны бүхэл ангиллыг арилгадаг.

Тээвэр, шийдэгдсэн очих газар, порт, алдааны яг текстийг бичиж ав. Клиентийг дахин суулгах нь тэр нотолгоог устгаж, ихэвчлэн юу ч өөрчлөхгүй.