Konnessjoni miċħuda mhix problema taċ-ċertifikat: gwida operattiva għall-VPN

Il-klijent jgħid li l-konnessjoni ġiet miċħuda eżatt wara li reġġenerajt is-CRL, allura s-CRL tidher ħatja. Mhijiex. Iċ-ċaħda hija tweġiba tas-saff tat-trasport, u l-validazzjoni taċ-ċertifikat isseħħ aktar tard, ġewwa l-handshake tal-mina. Il-ħin huwa kuntest, mhux prova.

Żewġ kontrolli jifirdu l-każijiet fi ftit inqas minn minuta, u lanqas waħda minnhom ma tmiss is-settings tal-fiduċja.

Aqra l-iżball fis-saff li pproduċieh

ECONNREFUSED minn connect ifisser li l-attentat tat-trasport ġie miċħud: xi ħaġa wieġbet b’reset, jew l-istack irrapporta port li ma jintlaħaqx. Problema taċ-ċertifikat ma tistax tipproduċi dak l-iżball, għax l-handshake TLS qatt ma jibda mingħajr konnessjoni tat-trasport. Jekk tara ċaħda, il-klijent qatt ma wasal biżżejjed biex jippreżenta ċertifikat. Dak il-fatt wieħed jeskludi r-revoka bħala kawża.

Jgħodd ukoll il-kuntrarju. Ċertifikat revokat jipproduċi konnessjoni TCP kompluta u handshake fallut, li jiġi rreġistrat fuq is-server bħala żball ta’ verifika.

Ċaħda TCP: ħadd mhu qed jisma’

Għat-TCP, iċċekkja jekk l-istanza maħsuba hijiex qed taħdem u marbuta mal-indirizz u l-port fil-profil. ss -lntp juri s-semmiegħa, u n-nuqqas ta’ wieħed huwa spjegazzjoni tas-soltu. Firewall li jiċħad minflok ma jwaqqa’ jipproduċi l-istess messaġġ fuq in-naħa tal-klijent, għalhekk tiċċekkja t-tnejn.

Iċċekkja wkoll il-familja tal-indirizzi. Servizz marbut ma’ 127.0.0.1 jew ma’ IPv6 biss se jiċħad klijent li jiġi riżolt għall-ieħor.

Imbagħad aqra l-log tas-servizz minflok ma taqta’ bl-addoċċ. Restart wara manutenzjoni tas-CA jista’ jonqos fuq fajl li ma jintqarax jew nieqes u qatt ma jasal għall-istat ta’ smigħ, u l-log isemmi l-fajl. Dan huwa falliment tal-bidu, bug differenti minn ċertifikat miċħud.

UDP m’għandux handshake x’jiċħad

OpenVPN fuq UDP ma jistabbilixxix konnessjoni fis-sens tat-TCP, allura ma hemm xejn x’jiġi miċħud fil-ħin ta’ connect. Fuq Linux, żball li juri socket UDP jista’ jiġi minn ICMP port-unreachable ġġenerat minn datagram preċedenti. Il-paġna tal-manwal udp(7) tiddeskrivi dan l-imġieba asinkronika.

Għalhekk klijent UDP jista’ jipprintja ċaħda waqt li l-proċess tas-server qed jaħdem iżda mhuwiex marbut mal-indirizz mistenni.

Fejn CRL fil-fatt tiġi spezzjonata

Is-CRL tiġi kkonsultata waqt l-handshake TLS, wara li l-parti l-oħra tippreżenta ċ-ċertifikat tagħha, u biss jekk il-konfigurazzjoni tas-server tippermettiha. L-għażla crl-verify tal-OpenVPN tipponta lejn il-fajl, u falliment jidher fil-log tas-server bħala żball ta’ verifika li jsemmi ċ-ċertifikat.

Klijent revokat għalhekk jikkonnettja fis-saff tat-trasport u mbagħad jonqos fl-awtentikazzjoni. L-istess server, l-istess port, messaġġ kompletament differenti.

Iċċekkja l-emittent u d-dati tal-validità tas-CRL meta tasal għal dak l-istadju. CRL iffirmata mis-CA żbaljata, jew waħda li skadiet qabel ma kkonnettja l-klijent, tipproduċi żbalji ta’ verifika li m’għandhom xejn x’jaqsmu maċ-ċertifikat tal-klijent stess.

Gwida qasira għad-darba li jmiss

Ikkonferma l-ewwel it-trasport: semmiegħ preżenti, familja tal-indirizzi korretta, firewall li ma jiċħadx. Imbagħad ikkonferma li s-servizz wasal għall-istat ta’ smigħ billi taqra l-log tal-bidu. U biss imbagħad ħares lejn l-iżbalji tal-handshake għal messaġġi ta’ verifika. Żomm dak l-ordni fiss, għax kull pass jelimina klassi sħiħa ta’ kawżi.

Ikteb it-trasport, id-destinazzjoni riżolta, il-port u t-test eżatt tal-iżball. L-installazzjoni mill-ġdid tal-klijent teqred dik il-prova u normalment ma tbiddel xejn.