Handshake TLS OpenVPN gagal: di cabang mana anda?

Baris yang mengatakan handshake TLS gagal ialah penghujung cerita, bukan permulaannya. Yang penting ialah peristiwa tepat sebelumnya, kerana peristiwa itu menamakan yang mana satu daripada empat kerosakan yang sangat berbeza yang anda ada. Tamat masa, ketidakpadanan saluran kawalan, penolakan sijil dan kegagalan selepas rundingan semuanya menghasilkan tajuk yang sama. Pilih cabang berdasarkan bukti, dan pembetulan tidak lagi menjadi tekaan.

Baca peristiwa terakhir sebelum kegagalan

Tatal ke atas dan bukannya membaca baris terakhir. Peristiwa sebelum pemutusan biasanya menamakan peringkat: tiada balasan langsung, ralat semasa pertukaran paket kawalan, hasil pengesahan, atau rundingan berjaya yang diikuti hasil pengesahan identiti. Setiap satunya milik pemilik yang berbeza. Baris tunggal itu menentukan bahagian mana di bawah yang terpakai.

Simpan teks ralat bersama versi klien, titik akhir dan pengangkutan. Jauhkan kunci, kata laluan dan profil yang belum disunting daripada apa-apa yang anda tampal secara umum.

Ralat pertama yang tepat lebih bernilai daripada petikan log yang panjang. Ia menamakan peringkat, dan peringkat menamakan pemiliknya.

Cabang satu: tiada apa yang kembali

Jika klien menghantar paket pertamanya dan tidak menerima apa-apa yang berguna, masalahnya pada laluan atau pada pendengar. Sahkan profil sepadan dengan pilihan yang benar-benar ditawarkan pengendali: alamat, port dan UDP atau TCP. Kemudian semak sama ada titik akhir boleh dicapai dari rangkaian ini. Catat semakan mana antara dua itu yang gagal sebelum meneruskan.

Pelayar yang memuatkan halaman pada nama hos yang sama hanya membuktikan bahawa perkhidmatan web menjawab. Malah sambungan TCP yang diterima tidak mengatakan apa-apa tentang sama ada OpenVPN telah menamatkan rundingan.

Jika profil berfungsi pada rangkaian dipercayai yang lain, kekalkan perbandingan itu. Ia menyetempatkan sekatan pada laluan atau perantara.

Cabang dua: saluran kawalan tidak sepadan

Apabila pertukaran bermula dan kemudian tersekat, tetapan saluran kawalan ialah suspek pertama. tls-auth dan tls-crypt mesti sepadan dengan penggunaan, dan bahan daripada pelayan lain tidak akan menghasilkan pertukaran yang berguna. Kegagalan ini berlaku sebelum sebarang log masuk akaun. Profil yang disalin daripada pelayan lama ialah sumber biasa.

Set semula kata laluan tidak menggantikan tetapan itu, dan meminjam kunci daripada perkhidmatan lain bukan pembetulan keserasian. Dapatkan profil melalui saluran pengendali yang disahkan dan catat versi klien yang dijangka.

Catat ralat rundingan yang khusus dan bukannya menghidupkan longgokan algoritma lama untuk melihat apa yang bertahan. Teks ralat yang ditangkap itulah yang membolehkan pengendali menyemak pihak mereka.

Cabang tiga: sijil ditolak

Kegagalan pengesahan yang jelas menamakan sijil yang tidak disukainya. Semak jam peranti dahulu, kemudian baca objek mana yang gagal: sijil pelayan, sijil klien, atau pengeluar dalam rantaian. Tamat tempoh, pengeluar tidak dipercayai dan identiti tidak dijangka ialah tiga mesej berbeza.

Biarkan pengesahan dihidupkan semasa anda mendapatkan bahan yang dibetulkan. Menerima sijil yang tidak berkaitan menghapuskan ralat tanpa membuktikan bahawa anda telah sampai ke pelayan yang dimaksudkan.

Catat sama ada kegagalan mengikut rangkaian atau profil. Ralat sijil yang muncul di merata tempat bukan masalah laluan.

Cabang empat: rundingan selesai dan sesuatu yang lain gagal

Sebaik sahaja pertukaran identiti berjaya, kegagalan yang tinggal adalah milik pengesahan identiti atau penghalaan. Penolakan akaun yang jelas ialah persoalan pengesahan identiti, dan terowong yang bersambung dengan laman yang tidak dapat dicapai ialah persoalan penghalaan atau DNS. Terus menggantikan pilihan TLS pada waktu itu merosakkan peringkat yang sudah berfungsi.

Apabila melaporkan masalah, katakan sama ada setiap rangkaian gagal, sama ada profil lain berfungsi, dan sama ada pelayan merekodkan percubaan itu. Diam di pihak pelayan dan penolakan daripadanya berada pada sempadan yang berbeza.