OpenVPN: TLS-handtrykket mislykkast – kva grein er du på?

Lina som seier at TLS-handtrykket mislykkast, er slutten på ei historie, ikkje byrjinga. Det avgjerande er hendinga rett før, for ho nemner kva for ein av fire svært ulike feil du har. Eit tidsavbrot, eit avvik i kontrollkanalen, eit avvist sertifikat og ein feil etter forhandlinga gir alle same overskrift. Vel greina ut frå prova, og rettinga er ikkje lenger ei gjetting.

Les den siste hendinga før feilen

Rull opp i staden for å lese den siste lina. Hendinga før fråkoplinga nemner vanlegvis fasen: ikkje noko svar i det heile, ein feil under utvekslinga av kontrollpakkar, eit stadfestingsresultat eller ei vellukka forhandling etterfølgd av eit autentiseringsresultat. Kvar av dei høyrer til ein annan eigar. Den eine lina avgjer kva del nedanfor som gjeld.

Lagre feilteksten med klientversjonen, endepunktet og transporten. Hald nøklar, passord og uredigerte profilar unna alt du limer inn offentleg.

Ein presis første feil er meir verd enn eit langt loggutdrag. Han nemner fasen, og fasen nemner eigaren.

Grein éin: ingenting kom tilbake

Viss klienten sende sin første pakke og ikkje fekk noko brukande, ligg problemet på vegen eller hos lyttaren. Stadfest at profilen samsvarar med eit alternativ operatøren faktisk tilbyr: adresse, port og UDP eller TCP. Sjekk deretter om endepunktet i det heile er nåbart frå dette nettverket. Noter kva av dei to sjekkane som feila før du går vidare.

Ein nettlesar som lastar ei side på same vertsnamn, beviser berre at ein nettteneste svara. Sjølv ei godteken TCP-tilkopling seier ingenting om OpenVPN fullførte forhandlinga.

Viss profilen fungerer på eit anna klarert nettverk, hald den samanlikninga. Ho lokaliserer avgrensinga til ein veg eller eit mellomledd.

Grein to: kontrollkanalen stemmer ikkje

Når utvekslinga startar og deretter stoggar, er innstillingane for kontrollkanalen den første mistenkte. tls-auth og tls-crypt må stemme med utrullinga, og materiale frå ein annan server gir ikkje ei brukande utveksling. Denne feilen oppstår før kvar kontopålogging. Ein profil kopiert frå ein eldre server er den vanlege kjelda.

Ei tilbakestilling av passordet erstattar ikkje desse innstillingane, og å låne ein nøkkel frå ei anna teneste er ikkje ei kompatibilitetsretting. Skaff profilen gjennom den stadfesta kanalen til operatøren og noter klientversjonen han ventar.

Noter den konkrete forhandlingsfeilen i staden for å slå på ein haug med eldre algoritmar for å sjå kva som held. Ein fanga feiltekst er det som gjer det mogleg for operatøren å sjekke si side.

Grein tre: eit sertifikat vart avvist

Ein uttrykkeleg stadfestingsfeil nemner sertifikatet han ikkje likar. Sjekk klokka på eininga først, og les deretter kva objekt som feila: sertifikatet til serveren, sertifikatet til klienten eller ein utgivar i kjeda. Utløp, ein ikkje-klarert utgivar og ein uventa identitet er tre ulike meldingar.

Hald stadfestinga på medan du skaffar retta materiale. Å godta eit urelatert sertifikat fjernar feilen utan å bevise at du nådde den tiltenkte serveren.

Noter om feilen følgjer nettverket eller profilen. Ein sertifikatfeil som dukkar opp overalt, er ikkje eit vegproblem.

Grein fire: forhandlinga var ferdig og noko anna feila

Når identitetsutvekslinga lukkast, høyrer den attverande feilen til autentisering eller ruting. Ei uttrykkeleg kontoavvising er eit autentiseringsspørsmål, og ein tilkopla tunnel med utilgjengelege nettstader er eit ruting- eller DNS-spørsmål. Å halde fram med å byte ut TLS-alternativ på det tidspunktet skadar ein fase som allereie verka.

Når du rapporterer problemet, seier du om kvart nettverk feilar, om ein annan profil verkar og om serveren registrerte forsøket. Tagnad på serversida og ei avvising derfrå står ved ulike grenser.