TLS-tidsavbrudd på seksti sekunder: hvilken ende stoppet egentlig?

Klienten gir opp etter seksti sekunder med en melding om nøkkelforhandling, og laptopen har ingen mening om hvorfor. Den setningen beskriver klientens tålmodighet, ikke serverens oppførsel. Tre helt forskjellige situasjoner skaper den: pakken nådde aldri riktig tjeneste, tjenesten forkastet den før den logget noe, eller tjenesten avviste den og sa det et sted klienten ikke kan se. Det er korrelasjonen av ett forsøk i begge ender som skiller dem.

Gi ett forsøk en identitet du kan søke etter

Skriv ned starttiden med tidssonen, profilnavnet, destinasjonen klienten faktisk slo opp, porten, og om forbindelsen er UDP eller TCP. Hvis profilen inneholder flere eksterne oppføringer, noter hvilken dette forsøket valgte, fordi et nytt forsøk kan ha flyttet til neste oppføring uten å endre filen du leser.

Ta endepunktet fra den aktive loggen, ikke fra nedlastingen du husker. En profil som peker på en privat adresse er helt gyldig og helt ubrukelig fra et nettverk som ikke kan rute dit, og det tilfellet ser identisk ut med en server som er nede.

Be deretter operatøren om samme vindu på den tiltenkte instansen. Klokkeforskjell er vanlig nok til at en avvik på noen minutter kan få en samsvarende hendelse til å virke fraværende, så noter avviket i stedet for å konkludere med at det ikke var noen hendelse.

Fire observasjoner, fire ulike neste steg

Det serveren registrerer avgjør grenen. Fravær av ethvert forsøk peker på adressering, transport eller veien til tjenesten. Innkommende pakker som forsvinner før en vanlig utveksling, peker på krav fra kontrollkanalen til den faktiske tjenesten. En navngitt avvisning peker på objektet den navngir. Svar som forlater serveren men aldri når klienten, peker på returveien.

En tom applikasjonslogg er svakere bevis enn den ser ut. Logging begynner på et bestemt punkt i utvekslingen, og pakker som forkastes før det punktet, etterlater ingen spor i filen du leser. Der det er tillatt, kan operatøren bruke tjeneste- og nettverksobservasjoner for å se om noe i det hele tatt ankom.

Hold de fire utfallene atskilt i notatene dine. Fristelsen er å smelte dem sammen til «serveren svarer ikke», og det er nettopp den setningen som sender folk til å bytte sifre når det egentlige problemet er en brannmurregel. Et notat som bare registrerer ordet tidsavbrudd, har kastet bort skillet du nettopp betalte for.

Rett fasen som bevisene navngir

En fullført TCP-forbindelse beviser bare at noe aksepterte en socket. Den beviser ikke at lytteren er den OpenVPN-tjenesten du konfigurerte, og en webserver på samme vertsnavn svarer en nettleser perfekt mens den er irrelevant for tunnelen.

Hvis serveren rapporterer en utløpt tilbakekallingsliste, er det et langt mer spesifikt faktum enn klientens endelige tidsavbrudd, og rettelsen hører til sertifikatmyndigheten og ikke nettet. Hvis de to endene er uenige om beskyttelse av kontrollkanalen eller delt materiale, endrer tilbakestilling av et passord ingenting, fordi forkastingen skjer før noen legitimasjon undersøkes.

Endre én ting som bevisene faktisk støtter, og gjenta deretter samme profil mot samme endepunkt. Bevar den første nye hendelsen hvis forbindelsen kommer lenger, fordi den hendelsen er neste fase av undersøkelsen, ikke et nytt problem.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Hva forlengelsen av vinduet egentlig endrer

Seksti sekunder er klientens håndtrykkvindu, og fellesskapets klientreferanse dokumenterer alternativet som justerer det. Å øke det får klienten til å vente lenger før den gir opp. Det får ikke en fraværende tjeneste til å dukke opp, og det gjør ikke en avvist pakke akseptabel.

Et lengre vindu har legitim bruk på en treg forbindelse eller en hardt belastet server, og det er verdt å prøve når du har bevis for at utvekslingen går sakte fremover i stedet for ikke å skje. Å prøve det først utsetter bare den samme diagnosen med enda et minutt og gjør tidslinjen vanskeligere å lese. Hvis tidslinjen viser en utveksling som går fremover og deretter stopper, er vinduet et symptom på belastning og ikke på tilgjengelighet.