OpenVPN: рукопожатие TLS не удалось — на какой вы ветке?

Строка о том, что рукопожатие TLS не удалось, — это конец истории, а не её начало. Важно событие непосредственно перед ней, потому что оно называет, какая из четырёх совершенно разных неисправностей у вас. Тайм-аут, несовпадение канала управления, отказ сертификата и сбой после согласования дают один и тот же заголовок. Выберите ветку по доказательствам, и исправление перестанет быть догадкой.

Прочитайте последнее событие перед сбоем

Прокрутите вверх вместо чтения последней строки. Событие перед отключением обычно называет этап: совсем нет ответа, ошибка при обмене управляющими пакетами, результат проверки или успешное согласование с последующим результатом аутентификации. Каждое из них принадлежит разному владельцу. Эта единственная строка решает, какой раздел ниже применим.

Сохраните текст ошибки вместе с версией клиента, конечной точкой и транспортом. Держите ключи, пароли и неотредактированные профили подальше от всего, что вы публикуете.

Точная первая ошибка ценнее длинной выдержки из журнала. Она называет этап, а этап называет владельца.

Ветка первая: ничего не вернулось

Если клиент отправил первый пакет и не получил ничего пригодного, проблема на пути или у слушателя. Убедитесь, что профиль соответствует параметру, который оператор действительно предлагает: адрес, порт и UDP или TCP. Затем проверьте, доступна ли конечная точка из этой сети вообще. Отметьте, какая из двух проверок не удалась, прежде чем идти дальше.

Браузер, загружающий страницу по тому же имени хоста, доказывает лишь то, что веб-служба ответила. Даже принятое TCP-соединение ничего не говорит о том, завершил ли OpenVPN согласование.

Если профиль работает в другой доверенной сети, сохраните это сравнение. Оно локализует ограничение на пути или у посредника.

Ветка вторая: канал управления не совпадает

Когда обмен начинается и затем застревает, первым подозреваемым становятся настройки канала управления. tls-auth и tls-crypt должны соответствовать развёртыванию, а материал с другого сервера не даст полезного обмена. Этот сбой происходит до любого входа в аккаунт. Профиль, скопированный со старого сервера, — обычный источник.

Сброс пароля не заменяет эти настройки, а заимствование ключа у другого сервиса не является исправлением совместимости. Получите профиль по проверенному каналу оператора и отметьте версию клиента, которую он ожидает.

Запишите конкретную ошибку согласования вместо включения груды старых алгоритмов, чтобы посмотреть, что удержится. Именно зафиксированный текст ошибки позволяет оператору проверить свою сторону.

Ветка третья: сертификат был отклонён

Явный сбой проверки называет сертификат, который ему не нравится. Сначала проверьте часы устройства, затем прочитайте, какой объект не прошёл: сертификат сервера, сертификат клиента или издатель в цепочке. Истечение срока, недоверенный издатель и неожиданная личность — это три разных сообщения.

Оставляйте проверку включённой, пока получаете исправленный материал. Принятие постороннего сертификата убирает ошибку, не доказывая, что вы попали на нужный сервер.

Отметьте, следует ли сбой за сетью или за профилем. Ошибка сертификата, возникающая везде, — не проблема пути.

Ветка четвёртая: согласование завершилось, а что-то другое не удалось

Как только обмен идентичностью удался, оставшийся сбой относится к аутентификации или маршрутизации. Явный отказ аккаунта — вопрос аутентификации, а подключённый туннель с недоступными сайтами — это вопрос маршрутизации или DNS. Продолжать заменять параметры TLS в этот момент — значит вредить этапу, который уже работал.

Когда сообщаете о проблеме, скажите, отказывает ли каждая сеть, работает ли другой профиль и записал ли сервер попытку. Молчание на стороне сервера и отказ с его стороны стоят на разных границах.