P_CONTROL_HARD_RESET_CLIENT_V2 fil-log: huwa żball?

Il-linja tirrepeti kull ftit sekondi u tidher bħala l-kawża ta' kollox: pakkett bl-isem control hard reset, li jiġi minn klijent li qatt ma jasal imkien. Mhuwiex żball. Huwa l-ewwel messaġġ ta' sessjoni ġdida, u r-repetizzjoni hija sintomu ta' xi ħaġa oħra li qed tfalli iktar 'il quddiem. Li tifred dak li jgħid it-tikketta minn dak li għamlet il-konnessjoni wara huwa d-dijanjosi kollha.

L-opcode isemmi pożizzjoni fil-protokoll

OpenVPN jimmultiplexa diversi tipi ta' pakkett fuq socket wieħed, u l-opcode jgħid lir-riċevitur liema tip għandu f'idu. Il-pakketti hard-reset jiftħu sessjoni, il-pakketti ta' kontroll iġorru materjal ta' handshake, l-acknowledgements jikkonfermaw ir-riċezzjoni, u l-pakketti tad-dejta iġorru l-piż tat-tunnel. Li taqra l-ewwel byte turi fejn il-pakkett jaqa' f'dak l-iskambju, u id-definizzjonijiet tal-pakkett fil-kodiċi sors isemmu kull familja b'mod espliċitu.

Dan huwa kollu li jgħid. Pakkett ittikkettat bħala reset inizjali tal-klijent jipprova li l-pakkett wasal fil-punt ta' osservazzjoni tiegħek u li l-pari jrid jibda sessjoni. Ma jipprovax li l-klijent afda ċ-ċertifikat tiegħek, li l-kredenzjali tiegħu ġew aċċettati, jew li kanal tad-dejta qatt sar użabbli.

Is-suffiss V2 huwa markatur tal-ġenerazzjoni tal-protokoll għal dik il-familja ta' pakketti, mhux verżjoni tal-prodott u mhux setting li tinstallah. Xejn fl-isem ma jirreferi għal reset ta' tunnel, tibdil ta' servizz jew tisfija ta' cache.

X'jagħmel il-klijent tassew f'dak il-mument

Il-klijent jiftaħ identifikatur tas-sessjoni li miegħu ż-żewġt iħħiet se jwaħħlu t-traffiku ta' kontroll sussegwenti. Meta l-protezzjoni tal-kanal ta' kontroll hija konfigurata, dak l-ewwel pakkett diġà jġorr l-HMAC li jippermetti lir-riċevitur jiddeċiedi jekk jiswiex jintefa' sforz fuq il-bqija tal-iskambju. Riċevitur li ma jistax jivverifikah jagħti l-pakkett 'il barra fis-skiet, u għalhekk ċavetta komuni żbaljata tidher bħal klijent li qed jitkellem fil-vojt.

Għad ma ġara xejn viżibbli għall-utent. L-ebda ċertifikat ma ġie vvalidat, l-ebda isem tal-utent ma ġie offrut u l-ebda indirizz tat-tunnel ma ġie assenjat. Ir-reset huwa l-preambolu tal-handshake, għalhekk kull ġudizzju dwar il-konnessjoni f'dan il-punt huwa prematur.

F'linja ta' konnessjoni mill-ġdid inattiva, id-dettall interessanti huwa l-intervall. Klijent li jerġa' jipprova f'ċiklu fiss mingħajr progress normalment jiġi miċħud qabel ma jista' javvanza, u r-raġuni tinsab fil-log tal-pari, mhux fl-isem tal-pakkett.

Fejn jinħeba l-falliment veru wara r-reset

Aqra ż-żewġ logs spalla ma' spalla u sib l-ewwel avveniment li mhuwiex reset. Fil-klijent, falliment fil-validazzjoni taċ-ċertifikat jiġi rrappurtat bir-raġuni speċifika: ċertifikat skadut, nuqqas ta' qbil fl-isem jew emittent mhux magħruf. Fis-server, ċaħda tal-kredenzjali tiġi rrappurtata bħala falliment ta' awtentikazzjoni bir-raġuni tagħha stess. It-tnejn huma ferm iktar speċifiċi mill-ħarsa ripetuta tas-server lejn provi ġodda.

Qabbel prova waħda bit-timbru tal-ħin minflok ma taqra kull log b'mod iżolat, għax l-istess falliment jidher fiż-żewġ postijiet b'kliem u b'severità differenti. Il-pari li jċedi normalment jgħid għaliex.

Jekk l-ebda naħa ma tirrapporta ċaħda u l-iskambju xorta joqgħod, il-limitu huwa l-aċċessibilità u mhux il-fiduċja. Firewall li jwarrab id-direzzjoni tar-ritorn, apparat tat-traduzzjoni tal-indirizzi tan-netwerk li jiskadi l-mapping, jew problema tal-MTU li toqtol pakketti tal-handshake ikbar kollha jipproduċu skambju waqfi mingħajr ebda żball ta' awtentikazzjoni.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Dak it-tfittix mhuwiex dijanjosi waħdu, iżda jċaqlaqek mill-vokabular tal-protokoll għal klassi ta' falliment reali f'pass wieħed.

Għaliex li tiddiżattiva l-verifika huwa r-rifless żbaljat

Meta r-reset ikompli jidher, l-iktar soluzzjoni li tidher malajr hija li tiddiżattiva l-validazzjoni taċ-ċertifikati jew tħalli l-protezzjoni tal-kanal ta' kontroll sabiex xi ħaġa tikkonnettja. Dan jibdel falliment dijanjostikabbli ma' wieħed li ma jistax jiġi dijanjostikat, u jħalli l-iskjerament jaċċetta pari li kien mibni biex jirrifjuta.

Minflok, ibdel il-limitu li fil-fatt falla. Problema ta' fiduċja tappartjeni lill-awtorità taċ-ċertifikati u lill-profil li jirreferi għaliha. Problema ta' ħin tappartjeni lill-arloġġ. Problema ta' kredenzjali tappartjeni lill-backend tal-awtentikazzjoni li rrifjutaha, u pari li ma jistax jintlaħaq jappartjeni lit-triq bejn iż-żewġ hosts.

L-opcode huwa utli f'konversazzjoni ta' appoġġ għal ħaġa waħda: jgħidlek li l-pari wasal 'il bogħod biżżejjed biex jipprova. Dak li ġara wara huwa dak li trid tkun taf, u huwa miktub f'dak il-log li jirreġistra l-ewwel ċaħda speċifika. Ibda minn hemm, u l-linja tar-reset tieqaf tidher bħala kawża u tibda tidher bħala timbru tal-ħin.