Жаран секундын TLS хугацаа: аль тал үнэхээр зогссон бэ?

Клиент жаран секундын дараа түлхүүрийн хэлэлцээрийн тухай зурвастайгаар бууж өгдөг бөгөөд зөөврийн компьютер яагаад гэдгийг талаар ямар ч санал гаргадаггүй. Тэр өгүүлбэр нь клиентийн тэвчээрийг дүрсэлдэг, серверийн зан төлөвийг биш. Үүнийг гурван огт өөр нөхцөл байдал үүсгэдэг: пакет зөв үйлчилгээнд хэзээ ч хүрээгүй, үйлчилгээ ямар нэгэн зүйл бүртгэхээс өмнө түүнийг хаясан, эсвэл үйлчилгээ түүнийг татгалзаж, клиент харж чадахгүй газарт хэлсэн. Яг нэг оролдлогыг хоёр төгсгөлд тулгах нь тэдгээрийг ялгадаг.

Нэг оролдлогод хайж болох таних тэмдэг өг

Эхлэх цагийг цагийн бүстэй нь, профайлын нэрийг, клиент үнэхээр шийдсэн очих газрыг, портыг, холболт UDP эсвэл TCP эсэхийг бич. Профайлд хэд хэдэн алсын бичлэг байвал тухайн оролдлого аль нэгийг сонгосныг тэмдэглэ, учир нь дахин оролдлого таны уншиж буй файлыг өөрчлөхгүйгээр дараагийн бичлэг рүү шилжсэн байж болно.

Төгсгөлийн цэгийг идэвхтэй логноос ав, санаж буй татан авалтаас биш. Хувийн хаяг руу чиглэсэн профайл бүрэн хүчинтэй бөгөөд тэнд чиглүүлэх боломжгүй сүлжээнээс бүрэн ашиггүй бөгөөд энэ тохиолдол унтарсан сервертэй яг адилхан харагдана.

Дараа нь оператороос зориулалтын хувилбар дээр ижил цонхыг хүс. Цагийн зөрүү нь маш түгээмэл тул хэдэн минутын зөрүү тохирох үйл явдлыг байхгүй мэт харуулж болно, тиймээс ямар ч үйл явдал болоогүй гэж дүгнэхийн оронд зөрүүг бич.

Дөрвөн ажиглалт, дөрвөн өөр дараагийн алхам

Серверийн юу бүртгэх нь салбарыг тодорхойлно. Ямар ч оролдлого байхгүй нь хаяглалт, тээвэрлэлт эсвэл үйлчилгээ рүү хүрэх замд ханддаг. Энгийн солилцооны өмнө алга болох ирж буй пакетууд бодит үйлчилгээний хяналтын сувгийн шаардлагад ханддаг. Нэрлэсэн татгалзал нь өөрийн нэрлэсэн объектод ханддаг. Серверээс гарч, клиентэд хэзээ ч хүрдэггүй хариултууд буцах замд ханддаг.

Хоосон програмын лог нь харагдахаас сул нотолгоо юм. Лог бүртгэл солилцооны тодорхой цэгээс эхэлдэг бөгөөд тэр цэгээс өмнө хаясан пакетууд таны уншиж буй файлд ямар ч ул мөр үлдээдэггүй. Зөвшөөрөгдсөн газарт оператор үйлчилгээ болон сүлжээний ажиглалтыг ашиглан ямар нэгэн зүйл ирсэн эсэхийг харж болно.

Тэмдэглэлдээ дөрвөн үр дүнг тус тусад нь хадгал. Тэдгээрийг «сервер хариу өгөхгүй байна» гэж нэгтгэх уруу таталт байдаг бөгөөд жинхэнэ асуудал галт хананы дүрэм байхад хүмүүсийг шифр солих руу илгээдэг нь яг энэ хэллэг юм. Зөвхөн хугацаа гэдэг үгийг бүртгэсэн тэмдэглэл дөнгөж төлсөн ялгааг хаячихсан.

Нотолгооны нэрлэсэн үе шатыг зас

Дууссан TCP холболт нь ямар нэгэн зүйл сокет хүлээн авсныг л нотолно. Энэ нь сонсогч таны тохируулсан OpenVPN үйлчилгээ гэдгийг нотлохгүй бөгөөд ижил хостны нэр дээрх вэб сервер хөтөчдөө төгс хариулдаг ч туннельд хамаагүй.

Хэрэв сервер хугацаа нь дууссан хүчингүй болгох жагсаалтыг мэдээлбэл, энэ нь клиентийн эцсийн хугацаанаас хамаагүй тодорхой баримт бөгөөд засвар нь сүлжээнд биш, гэрчилгээний байгууллагад хамаарна. Хэрэв хоёр тал хяналтын сувгийн хамгаалалт эсвэл хуваалцсан материал дээр санал нийлэхгүй бол нууц үгийг дахин тохируулах нь юу ч өөрчлөхгүй, учир нь хаях нь ямар ч итгэмжлэл шалгагдахаас өмнө болдог.

Нотолгооны үнэхээр дэмжиж буй нэг зүйлийг өөрчил, дараа нь ижил профайлыг ижил төгсгөлийн цэг рүү давт. Холболт цааш явбал эхний шинэ үйл явдлыг хадгал, учир нь тэр үйл явдал шинэ асуудал биш, мөрдөн шалгалтын дараагийн үе шат юм.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Цонхыг сунгах нь үнэхээр юу өөрчлөх вэ

Жаран секунд бол клиентийн гар барилтын цонх бөгөөд нийгэмлэгийн клиентийн лавлагаа түүнийг тохируулах сонголтыг баримтжуулдаг. Үүнийг нэмэгдүүлбэл клиент бууж өгөхөөс өмнө илүү удаан хүлээнэ. Энэ нь байхгүй үйлчилгээг гаргаж ирэхгүй бөгөөд татгалзсан пакетыг хүлээн зөвшөөрөхүйц болгохгүй.

Удаан холбоос эсвэл хүнд ачаалалтай сервер дээр урт цонхыг хууль ёсны ашиглах боломж байдаг бөгөөд солилцоо огт болохгүй биш удаан урагшилж байгааг нотлох баримт байвал туршиж үзэх нь зүйтэй. Эхлээд турших нь мөнөөх оношийг дахин нэг минутаар хойшлуулж, цаг хугацааны шугамыг уншихад хэцүү болгоно. Хэрэв цаг хугацааны шугам урагшилж, дараа нь зогссон солилцоог харуулбал цонх нь ачааллын шинж, хүртээмжийн биш.