OpenVPN: handshake-ul TLS a eșuat – pe ce ramură ești?

Linia care spune că handshake-ul TLS a eșuat este sfârșitul unei povești, nu începutul. Contează evenimentul imediat anterior, pentru că el numește care dintre cele patru defecte foarte diferite îl ai. Un timeout, o nepotrivire a canalului de control, un certificat respins și o eroare după negociere produc toate același titlu. Alege ramura după dovezi, iar remedierea nu mai este o presupunere.

Citește ultimul eveniment dinaintea erorii

Derulează în sus în loc să citești ultima linie. Evenimentul de dinaintea deconectării numește de obicei etapa: niciun răspuns, o eroare la schimbul pachetelor de control, un rezultat de verificare sau o negociere reușită urmată de un rezultat de autentificare. Fiecare dintre ele aparține altui responsabil. Acea singură linie decide care secțiune de mai jos se aplică.

Salvează textul erorii împreună cu versiunea clientului, punctul final și transportul. Ține cheile, parolele și profilurile necenzurate în afara a tot ce publici.

O primă eroare precisă valorează mai mult decât un fragment lung de jurnal. Numește etapa, iar etapa numește responsabilul.

Ramura unu: nu s-a întors nimic

Dacă clientul a trimis primul pachet și nu a primit nimic utilizabil, problema este pe traseu sau la ascultător. Confirmă că profilul corespunde unei opțiuni pe care operatorul o oferă într-adevăr: adresă, port și UDP sau TCP. Apoi verifică dacă punctul final este accesibil din această rețea. Notează care dintre cele două verificări a eșuat înainte de a continua.

Un browser care încarcă o pagină pe același nume de host dovedește doar că un serviciu web a răspuns. Nici o conexiune TCP acceptată nu spune nimic despre dacă OpenVPN a încheiat negocierea.

Dacă profilul funcționează într-o altă rețea de încredere, păstrează comparația. Ea localizează restricția pe un traseu sau la un intermediar.

Ramura doi: canalul de control nu corespunde

Când schimbul începe și apoi se blochează, setările canalului de control sunt primul suspect. tls-auth și tls-crypt trebuie să corespundă implementării, iar materialul de pe alt server nu va produce un schimb util. Această eroare apare înainte de orice autentificare în cont. Un profil copiat de pe un server mai vechi este sursa obișnuită.

Resetarea parolei nu înlocuiește acele setări, iar împrumutarea unei chei de la alt serviciu nu este o remediere de compatibilitate. Obține profilul prin canalul verificat al operatorului și notează versiunea de client pe care o așteaptă.

Notează eroarea specifică de negociere în loc să activezi o grămadă de algoritmi mai vechi ca să vezi ce rezistă. Un text de eroare capturat este ceea ce îi permite operatorului să-și verifice partea.

Ramura trei: un certificat a fost respins

O eroare explicită de verificare numește certificatul de care nu-i place. Verifică mai întâi ceasul dispozitivului, apoi citește care obiect a eșuat: certificatul serverului, certificatul clientului sau un emitent din lanț. Expirarea, un emitent neîncrezut și o identitate neașteptată sunt trei mesaje diferite.

Ține verificarea activă cât timp obții material corectat. Acceptarea unui certificat nelegat elimină eroarea fără a dovedi că ai ajuns la serverul dorit.

Notează dacă eroarea urmează rețeaua sau profilul. O eroare de certificat care apare peste tot nu este o problemă de traseu.

Ramura patru: negocierea s-a terminat și altceva a eșuat

După ce schimbul de identitate reușește, eroarea rămasă aparține autentificării sau rutării. O respingere explicită a contului este o chestiune de autentificare, iar un tunel conectat cu site-uri inaccesibile este o chestiune de rutare sau DNS. Continuarea înlocuirii opțiunilor TLS în acel moment deteriorează o etapă care funcționa deja.

Când raportezi problema, spune dacă eșuează fiecare rețea, dacă funcționează alt profil și dacă serverul a înregistrat încercarea. Tăcerea de pe partea serverului și o respingere de acolo stau la limite diferite.