TLS-tidsavbrot på seksti sekund: kva ende stoppa eigentleg?

Klienten gjev opp etter seksti sekund med ei melding om nøkkelforhandling, og laptopen har inga meining om kvifor. Den setninga skildrar tolmodet til klienten, ikkje åtferda til tenaren. Tre heilt ulike situasjonar skaper henne: pakken nådde aldri rett teneste, tenesta kasta han før ho logga noko, eller tenesta avviste han og sa det ein stad klienten ikkje kan sjå. Det er korrelasjonen av eitt forsøk i begge endar som skil dei.

Gje eitt forsøk ein identitet du kan søkje etter

Skriv ned starttida med tidssona, profilnamnet, destinasjonen klienten faktisk slo opp, porten, og om sambandet er UDP eller TCP. Viss profilen inneheld fleire eksterne oppføringar, noter kva denne prøva valde, for eit nytt forsøk kan ha flytta til neste oppføring utan å endre fila du les.

Ta endepunktet frå den aktive loggen, ikkje frå nedlastinga du hugsar. Ein profil som peikar på ei privat adresse er heilt gyldig og heilt ubrukeleg frå eit nettverk som ikkje kan rute dit, og det tilfellet ser identisk ut med ein tenar som er nede.

Be deretter operatøren om same vindauge på den tiltenkte instansen. Klokkeforskjell er vanleg nok til at eit avvik på nokre minutt kan få ei samsvarande hending til å verke fråverande, så noter avviket i staden for å konkludere med at det ikkje var noka hending.

Fire observasjonar, fire ulike neste steg

Det tenaren registrerer avgjer greina. Fråvære av eitkvart forsøk peikar på adressering, transport eller vegen til tenesta. Innkomande pakkar som forsvinn før ein vanleg utveksling, peikar på krava frå kontrollkanalen til den faktiske tenesta. Ei namngjeven avvising peikar på objektet ho namngjev. Svar som forlet tenaren men aldri når klienten, peikar på returvegen.

Ein tom applikasjonslogg er svakare prov enn han ser ut. Logging byrjar på eit bestemt punkt i utvekslinga, og pakkar som blir kasta før det punktet, etterlèt ingen spor i fila du les. Der det er tillate, kan operatøren bruke teneste- og nettverksobservasjonar for å sjå om noko i det heile kom fram.

Hald dei fire utfalla åtskilde i notata dine. Freistinga er å smelte dei saman til «tenaren svarar ikkje», og det er nettopp den setninga som sender folk til å byte siffer når det eigentlege problemet er ein brannmurregel. Eit notat som berre registrerer ordet tidsavbrot, har kasta bort skillet du nettopp betalte for.

Rett fasen som prova namngjev

Eit fullført TCP-samband beviser berre at noko tok imot ein socket. Det beviser ikkje at lyttaren er OpenVPN-tenesta du sette opp, og ein webserver på same vertsnamn svarar ein nettlesar perfekt medan han er irrelevant for tunnelen.

Viss tenaren rapporterer ei utgått tilbakekallingsliste, er det eit langt meir spesifikt faktum enn den endelege tidsavbrotet til klienten, og rettinga høyrer til sertifikatstyresmakta og ikkje nettet. Viss dei to endane er usamde om vern av kontrollkanalen eller delt materiale, endrar tilbakestilling av eit passord ingenting, fordi forkastinga skjer før nokon legitimasjon blir granska.

Endre éin ting som prova faktisk støttar, og gjer deretter same profilen på nytt mot same endepunkt. Ta vare på den første nye hendinga viss sambandet kjem lenger, fordi den hendinga er neste fase av granskinga, ikkje eit nytt problem.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Kva forlenginga av vindauget eigentleg endrar

Seksti sekund er handtrykkvindauget til klienten, og klientreferansen til fellesskapet dokumenterer alternativet som justerer det. Å auke det får klienten til å vente lenger før han gjev opp. Det får ikkje ei fråverande teneste til å dukke opp, og det gjer ikkje ein avvist pakke akseptabel.

Eit lengre vindauge har legitim bruk på ei treg samband eller ein hardt belasta tenar, og det er verdt å prøve når du har prov for at utvekslinga går sakte framover i staden for ikkje å skje. Å prøve det først utset berre den same diagnosen med endå eit minutt og gjer tidslinja vanskelegare å lese. Viss tidslinja viser ei utveksling som går framover og deretter stoppar, er vindauget eit symptom på belastning og ikkje på tilgjenge.