Tamat masa TLS enam puluh saat: hujung mana yang sebenarnya berhenti?

Klien menyerah kalah selepas enam puluh saat dengan mesej tentang rundingan kunci, dan komputer riba tidak memberikan pendapat mengapa. Ayat itu menggambarkan kesabaran klien, bukan tingkah laku pelayan. Tiga keadaan yang sangat berbeza menghasilkannya: paket tidak pernah sampai ke perkhidmatan yang betul, perkhidmatan membuangnya sebelum mencatat apa-apa, atau perkhidmatan menolaknya dan menyatakannya di tempat yang klien tidak dapat lihat. Menghubungkan satu percubaan di kedua-dua hujung itulah yang memisahkannya.

Berikan satu percubaan identiti yang boleh anda cari

Catat masa mula bersama zon waktunya, nama profil, destinasi yang benar-benar diselesaikan oleh klien, port, dan sama ada sambungan itu UDP atau TCP. Jika profil membawa beberapa entri jauh, catat mana yang dipilih oleh percubaan itu, kerana percubaan semula mungkin telah beralih ke entri seterusnya tanpa mengubah fail yang anda baca.

Ambil titik akhir daripada log aktif, bukan daripada muat turun yang anda ingat. Profil yang menunjuk ke alamat peribadi sepenuhnya sah dan sepenuhnya tidak boleh digunakan daripada rangkaian yang tidak dapat menghalakan ke sana, dan kes itu kelihatan sama seperti pelayan yang mati.

Kemudian minta pengendali jendela masa yang sama pada instans yang dimaksudkan. Sisihan jam cukup biasa sehingga perbezaan beberapa minit boleh membuat peristiwa yang sepadan kelihatan tiada, jadi catat perbezaan itu dan bukannya membuat kesimpulan bahawa tiada peristiwa.

Empat pemerhatian, empat langkah seterusnya yang berbeza

Apa yang pelayan rekod menentukan cabangnya. Ketiadaan sebarang percubaan menunjuk kepada pengalamatan, pengangkutan atau laluan ke perkhidmatan. Paket masuk yang hilang sebelum pertukaran biasa menunjuk kepada keperluan saluran kawalan perkhidmatan sebenar. Penolakan bernama menunjuk kepada objek yang dinamakannya. Balasan yang meninggalkan pelayan tetapi tidak pernah sampai kepada klien menunjuk kepada laluan pulang.

Log aplikasi kosong ialah bukti yang lebih lemah daripada rupanya. Pengelogan bermula pada titik tertentu dalam pertukaran, dan paket yang dibuang sebelum titik itu tidak meninggalkan kesan dalam fail yang anda baca. Di tempat yang dibenarkan, pengendali boleh menggunakan pemerhatian perkhidmatan dan rangkaian untuk melihat sama ada apa-apa tiba.

Simpan keempat-empat hasil secara berasingan dalam nota anda. Godaan ialah menggabungkannya menjadi “pelayan tidak bertindak balas”, dan itulah frasa yang menghantar orang menukar sifer apabila masalah sebenar ialah peraturan tembok api. Nota yang hanya merekod perkataan tamat masa telah membuang perbezaan yang baru anda bayar.

Betulkan peringkat yang dinamakan oleh bukti

Sambungan TCP yang selesai hanya membuktikan bahawa sesuatu menerima soket. Ia tidak membuktikan bahawa pendengar ialah perkhidmatan OpenVPN yang anda konfigurasikan, dan pelayan web pada nama hos yang sama menjawab pelayar dengan sempurna sambil tidak relevan kepada terowong.

Jika pelayan melaporkan senarai pembatalan yang telah tamat tempoh, itu fakta yang jauh lebih khusus daripada tamat masa akhir klien, dan pembetulannya milik pihak berkuasa sijil dan bukan rangkaian. Jika kedua-dua hujung tidak bersetuju tentang perlindungan saluran kawalan atau bahan kongsi, menetapkan semula kata laluan tidak mengubah apa-apa, kerana pembuangan berlaku sebelum sebarang kelayakan diperiksa.

Ubah satu perkara yang benar-benar disokong oleh bukti, kemudian ulangi profil yang sama terhadap titik akhir yang sama. Simpan peristiwa baharu pertama jika sambungan pergi lebih jauh, kerana peristiwa itu ialah peringkat seterusnya penyiasatan, bukan masalah baharu.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Apa yang sebenarnya diubah dengan memanjangkan jendela

Enam puluh saat ialah jendela jabat tangan klien, dan rujukan klien komuniti mendokumentasikan pilihan yang melarasnya. Menaikkannya membuat klien menunggu lebih lama sebelum menyerah kalah. Ia tidak membuat perkhidmatan yang tiada muncul dan tidak menjadikan paket yang ditolak boleh diterima.

Ada penggunaan sah untuk jendela yang lebih panjang pada pautan perlahan atau pelayan yang sangat sarat, dan ia berbaloi dicuba setelah anda mempunyai bukti bahawa pertukaran bergerak perlahan dan bukannya tidak berlaku. Mencubanya dahulu hanya melambatkan diagnosis yang sama satu minit lagi dan menjadikan garis masa lebih sukar dibaca. Jika garis masa menunjukkan pertukaran yang maju lalu terhenti, jendela itu ialah gejala beban dan bukan kebolehcapaian.