P_CONTROL_HARD_RESET_CLIENT_V2 i loggen: er det ein feil?

Lina vert gjenteken kvart par sekund og ser ut som årsaka til alt: ein pakke kalla control hard reset, som kjem frå ein klient som aldri når nokon stad. Det er ikkje ein feil. Det er den første meldinga i ei ny økt, og gjentakinga er eit symptom på at noko anna sviktar lenger framme. Å skilje det etiketten seier frå det tilkoplinga gjorde etterpå er heile diagnosen.

Opkoden namngir ein posisjon i protokollen

OpenVPN multipleksar fleire pakketypar over éin socket, og opkoden fortel mottakaren kva type han held. Hard-reset-pakkar opnar ei økt, kontrollpakkar ber handtrykksmateriale, stadfestingar stadfester mottak, og datapakkar ber nyttelasta til tunnelen. Å lese den første byten viser kvar pakken høyrer heime i den utvekslinga, og pakkedefinisjonane i kjeldekoden namngir kvar familie eksplisitt.

Det er alt han seier. Ein pakke merkt som ein innleiande klient-reset beviser at pakken nådde observasjonspunktet ditt og at motparten vil starte ei økt. Han beviser ikkje at klienten stolte på sertifikatet ditt, at påloggingsinformasjonen vart godteken, eller at ein datakanal nokon gong vart brukbar.

Endinga V2 er ein protokollgenerasjonsmarkør for den pakkefamilien, ikkje ein produktversjon og ikkje ei innstilling du installerer. Ingenting i namnet viser til å nullstille ein tunnel, starte ein teneste på nytt eller tømme ein hurtigbuffer.

Kva klienten faktisk gjer i det augneblinken

Klienten opnar ein øktidentifikator som begge endar vil knyte den vidare kontrolltrafikken til. Når vernet av kontrollkanalen er konfigurert, ber den første pakken allereie HMAC-en som lèt mottakaren avgjere om det er verdt å bruke krefter på resten av utvekslinga. Ein mottakar som ikkje kan verifisere han, slepp pakken stille, og difor ser ein feil delt nøkkel ut som ein klient som snakkar ut i tomrommet.

Ingenting brukarvisibelt har skjedd enno. Ingen sertifikat er validerte, ingen brukarnamn er tilbodne og inga tunneladresse er tildelt. Reset er forordet til handtrykket, så kvar dom om tilkoplinga på dette punktet er forhasta.

For ei ledig gjenoppkoplingløkke er den interessante detaljen intervallet. Ein klient som prøver på nytt i fast syklus utan framgang, vert vanlegvis avvist før han kan kome vidare, og grunnen står i loggen til motparten, ikkje i pakkenamnet.

Kvar den eigentlege feilen skjuler seg etter reset

Les dei to loggane side om side og finn den første hendinga som ikkje er ein reset. Hos klienten vert ein sertifikatvalideringsfeil rapportert med den konkrete grunnen: eit utgått sertifikat, eit namneavvik eller ein ukjend utferdar. Hos tenaren vert ei avvising av påloggingsinformasjon rapportert som ein autentiseringsfeil med sin eigen grunn. Begge er langt meir konkrete enn den gjentekne visjonen til tenaren av nye forsøk.

Match eitt forsøk etter tidsstempelet i staden for å lese kvar logg isolert, fordi den same feilen dukkar opp båe stader med ulik ordlyd og ulik alvor. Motparten som gjev opp, oppgjev vanlegvis kvifor.

Om ingen av sidene rapporterer avvising og utvekslinga likevel stoppar, er grensa nåbarheit og ikkje tillit. Ein brannmur som slepp returretninga, ein eining for nettverksadresseomsetjing der kartlegginga går ut, eller eit MTU-problem som drep større handtrykkspakkar, gjev alle ei fastlåst utveksling heilt utan autentiseringsfeil.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Den søkinga er ikkje ein diagnose i seg sjølv, men ho flyttar deg frå protokollordforråd til ein faktisk feilklasse i eitt trinn.

Kvifor det å slå av verifiseringa er den gale refleksen

Når reset held fram med å dukke opp, er den tilsynelatande raskaste rettinga å slå av sertifikatvalidering eller gje opp vernet av kontrollkanalen slik at noko koplar til. Det byter ein diagnostiserbar feil mot ein udiagnostiserbar, og lèt utrullinga godta motpartar ho vart bygd for å avvise.

Endre i staden grensa som faktisk svikta. Eit tillitsproblem høyrer til sertifikatstyresmakta og profilen som viser til ho. Eit tidsproblem høyrer til klokka. Eit påloggingsproblem høyrer til autentiseringsbakenden som avviste det, og ein utilgjengeleg motpart høyrer til vegen mellom dei to vertane.

Opkoden er nyttig i ein støttesamtale for éin ting: han fortel at motparten kom langt nok til å prøve. Det som skjedde etterpå, er det du treng å vite, og det står i den loggen som registrerer den første konkrete avvisinga. Byrja der, og reset-lina sluttar å sjå ut som ei årsak og byrjar å sjå ut som eit tidsstempel.