OpenVPN: TLS-handshake mislukt – op welke tak sta je?

De regel die meldt dat de TLS-handshake is mislukt, is het einde van een verhaal, niet het begin. Beslissend is de gebeurtenis direct ervoor, want die benoemt welke van vier heel verschillende fouten je hebt. Een time-out, een afwijking in het controlekanaal, een geweigerd certificaat en een fout na de onderhandeling leveren allemaal dezelfde kop op. Kies de tak op basis van het bewijs, en de oplossing is geen gok meer.

Lees de laatste gebeurtenis vóór de fout

Scroll omhoog in plaats van de laatste regel te lezen. De gebeurtenis vóór de verbreking benoemt meestal de fase: helemaal geen antwoord, een fout bij het uitwisselen van controlepacketten, een verificatieresultaat of een geslaagde onderhandeling gevolgd door een authenticatieresultaat. Elk daarvan hoort bij een andere eigenaar. Die ene regel bepaalt welke sectie hieronder geldt.

Bewaar de fouttekst met de clientversie, het eindpunt en het transport. Houd sleutels, wachtwoorden en niet-geredigeerde profielen buiten alles wat je openbaar plakt.

Een precieze eerste fout is meer waard dan een lang logfragment. Hij benoemt de fase, en de fase benoemt de eigenaar.

Tak één: er kwam niets terug

Als de client zijn eerste pakket heeft gestuurd en niets bruikbaars heeft ontvangen, ligt het probleem op het pad of bij de luisteraar. Controleer of het profiel past bij een optie die de operator werkelijk biedt: adres, poort en UDP of TCP. Kijk dan of het eindpunt überhaupt bereikbaar is vanaf dit netwerk. Noteer welke van de twee controles mislukte voordat je verdergaat.

Een browser die een pagina op dezelfde hostnaam laadt, bewijst alleen dat een webservice antwoordde. Zelfs een geaccepteerde TCP-verbinding zegt niets over of OpenVPN de onderhandeling heeft afgerond.

Als het profiel op een ander vertrouwd netwerk werkt, houd die vergelijking dan vast. Die lokaliseert de beperking naar een pad of een tussenpartij.

Tak twee: het controlekanaal past niet

Wanneer de uitwisseling begint en dan stokt, zijn de instellingen van het controlekanaal de eerste verdachte. tls-auth en tls-crypt moeten bij de uitrol passen, en materiaal van een andere server levert geen bruikbare uitwisseling op. Deze fout treedt op vóór elke accountaanmelding. Een profiel dat van een oudere server is gekopieerd, is de gebruikelijke bron.

Een wachtwoordreset vervangt die instellingen niet, en een sleutel van een andere dienst lenen is geen compatibiliteitsoplossing. Haal het profiel via het geverifieerde kanaal van de operator en noteer de clientversie die het verwacht.

Noteer de specifieke onderhandelingsfout in plaats van een berg oudere algoritmen in te schakelen om te zien wat blijft hangen. Een vastgelegde fouttekst is wat de operator in staat stelt zijn kant te controleren.

Tak drie: een certificaat werd geweigerd

Een uitdrukkelijke verificatiefout benoemt het certificaat dat hij niet bevalt. Controleer eerst de klok van het apparaat en lees dan welk object faalde: het servercertificaat, het clientcertificaat of een uitgever in de keten. Verloop, een niet-vertrouwde uitgever en een onverwachte identiteit zijn drie verschillende meldingen.

Laat de verificatie aan staan terwijl je gecorrigeerd materiaal haalt. Een niet-gerelateerd certificaat accepteren haalt de fout weg zonder te bewijzen dat je de bedoelde server hebt bereikt.

Noteer of de fout het netwerk of het profiel volgt. Een certificaatfout die overal verschijnt, is geen padprobleem.

Tak vier: de onderhandeling was klaar en iets anders faalde

Zodra de identiteitsuitwisseling slaagt, hoort de resterende fout bij authenticatie of bij routing. Een uitdrukkelijke accountweigering is een authenticatievraag, en een verbonden tunnel met onbereikbare sites is een routing- of DNS-vraag. Doorgaan met het vervangen van TLS-opties beschadigt op dat punt een fase die al werkte.

Als je het probleem meldt, zeg dan of elk netwerk faalt, of een ander profiel werkt en of de server de poging heeft vastgelegd. Stilte aan de serverkant en een weigering van daaruit liggen op verschillende grenzen.