Timeout TLS ta' sittin sekonda: liema tarf waqaf tassew?

Il-klijent jagħti l-armi wara sittin sekonda b'messaġġ dwar in-negozjati tal-ċwievet, u l-laptop ma jagħti l-ebda opinjoni dwar għaliex. Dik il-frażi tiddeskrivi l-paċenzja tal-klijent, mhux l-imġiba tas-server. Tliet sitwazzjonijiet kompletament differenti jiġġenerawha: il-pakkett qatt ma wasal għas-servizz it-tajjeb, is-servizz tarmih qabel ma rreġistra xi ħaġa, jew is-servizz irrifjutah u qal dan f'post li l-klijent ma jistax jara. Huwa l-korrelazzjoni ta' prova waħda f'żewġ trufijiet li tifridhom.

Agħti lil prova waħda identità li tista' tfittex għaliha

Ikteb il-ħin tal-bidu maż-żona tal-ħin tiegħu, l-isem tal-profil, id-destinazzjoni li l-klijent effettivament issolva, il-port, u jekk il-konnessjoni hijiex UDP jew TCP. Jekk il-profil iġorr diversi entrati remoti, innota liema waħda għażlet dik il-prova, għax prova mill-ġdid tista' tkun mxiet għall-entrata li jmiss mingħajr ma biddlet il-fajl li qed taqra.

Ħu l-punt tat-tmiem mil-log attiv, mhux mit-tniżżil li tiftakar. Profil li jindika lejn indirizz privat huwa kompletament validu u kompletament inutilizzabbli minn netwerk li ma jistax jirrutja lejh, u dak il-każ jidher identiku għal server li huwa mitfi.

Imbagħad itlob lill-operatur għall-istess tieqa fuq l-istanza maħsuba. Id-deriva tal-arloġġ hija komuni biżżejjed li differenza ta' ftit minuti tista' tagħmel avveniment li jaqbel jidher nieqes, allura rreġistra d-differenza minflok tikkonkludi li ma kien hemm l-ebda avveniment.

Erba' osservazzjonijiet, erba' passi differenti li jmiss

Dak li jirreġistra s-server jiddeċiedi l-fergħa. In-nuqqas ta' kwalunkwe prova jindika indirizzar, trasport jew il-mogħdija lejn is-servizz. Pakketti deħlin li jisparixxu qabel skambju ordinarju jindikaw il-ħtiġijiet tal-kanal ta' kontroll tas-servizz reali. Ċaħda msemmija tindika l-oġġett li ssemmi. Tweġibiet li jħallu s-server iżda qatt ma jaslu għand il-klijent jindikaw il-mogħdija lura.

Log tal-applikazzjoni vojt huwa evidenza aktar dgħajfa milli jidher. Ir-reġistrazzjoni tibda f'punt partikolari tal-iskambju, u l-pakketti li jintremew qabel dak il-punt ma jħallu l-ebda traċċa fil-fajl li qed taqra. Fejn dan huwa awtorizzat, l-operatur jista' juża osservazzjonijiet tas-servizz u tan-netwerk biex jara jekk wasalx xi ħaġa xejn.

Żomm l-erba' riżultati separati fin-noti tiegħek. It-tentazzjoni hija li tgħaqqadhom fi «s-server mhux qed iwieġeb», u dik hija l-frażi li tibgħat nies ibiddlu ċ-ċifrari meta l-problema vera hija regola tal-firewall. Nota li tirreġistra biss il-kelma timeout tkun armiet id-distinzjoni li għadek kemm ħallast għaliha.

Irranġa l-fażi li ssemmi l-evidenza

Konnessjoni TCP li titlesta tipprova biss li xi ħaġa aċċettat socket. Ma tipprovax li s-semmiegħa hija s-servizz OpenVPN li kkonfigurajt, u server web fuq l-istess isem host iwieġeb browser b'mod perfett filwaqt li huwa irrilevanti għat-tunnel.

Jekk is-server jirrapporta lista ta' revoka skaduta, dik hija fatt ħafna aktar speċifiku mit-timeout finali tal-klijent, u t-tiswija tappartjeni lill-awtorità taċ-ċertifikati u mhux lin-netwerk. Jekk iż-żewġ trufijiet ma jaqblux dwar il-protezzjoni tal-kanal ta' kontroll jew materjal komuni, l-issettjar mill-ġdid tal-password ma jbiddel xejn, għax it-twarrib iseħħ qabel ma jiġi eżaminat kwalunkwe kredenzjali.

Ibdel ħaġa waħda li l-evidenza tassew tappoġġja, imbagħad irrepeti l-istess profil kontra l-istess punt tat-tmiem. Preserva l-ewwel avveniment ġdid jekk il-konnessjoni tmur eqreb, għax dak l-avveniment huwa l-fażi li jmiss tal-investigazzjoni, mhux problema ġdida.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

X'jibdel tassew it-titwil tat-tieqa

Sittin sekonda hija t-tieqa tal-handshake tal-klijent, u r-referenza tal-klijent tal-komunità tiddokumenta l-għażla li taġġustaha. Iżżidha jġiegħel lill-klijent jistenna aktar qabel ma jagħti l-armi. Ma tagħmilx servizz nieqes jidher u ma tagħmilx pakkett miċħud aċċettabbli.

Hemm użu leġittimu għal tieqa itwal fuq konnessjoni bil-mod jew server mgħobbi ħafna, u jiswa li tippruvaha ladarba jkollok evidenza li l-iskambju miexi bil-mod minflok ma qed iseħħ xejn. Li tippruvaha l-ewwel sempliċement ittardja l-istess dijanjosi b'minuta oħra u tagħmel il-linja tal-ħin aktar diffiċli biex taqra. Jekk il-linja tal-ħin turi skambju li jimxi 'l quddiem u mbagħad jieqaf, it-tieqa hija sintomu ta' tagħbija u mhux ta' aċċessibilità.