P_CONTROL_HARD_RESET_CLIENT_V2 v logu: je to chyba?

Riadok sa opakuje každých pár sekúnd a vyzerá ako príčina všetkého: paket s názvom control hard reset, ktorý prichádza od klienta, čo sa nikam nedostane. Nie je to chyba. Je to prvá správa novej relácie a opakovanie je príznakom niečoho iného, čo zlyháva ďalej. Oddeliť, čo hovorí označenie, od toho, čo spojenie urobilo potom, je celá diagnóza.

Opkód označuje pozíciu v protokole

OpenVPN multiplexuje niekoľko druhov paketov cez jeden socket a opkód hovorí príjemcovi, ktorý druh drží. Pakety hard-reset otvárajú reláciu, riadiace pakety nesú materiál handshake, potvrdenia potvrdzujú príjem a dátové pakety nesú užitočné zaťaženie tunela. Prečítanie prvého bajtu ukáže, kam v tejto výmene paket patrí, a definície paketov v zdrojovom kóde pomenúvajú každú rodinu výslovne.

To je všetko, čo hovorí. Paket označený ako počiatočný reset klienta dokazuje, že paket dorazil do vášho pozorovacieho bodu a že partner chce začať reláciu. Nedokazuje, že klient dôveroval vášmu certifikátu, že jeho prihlasovacie údaje boli prijaté alebo že dátový kanál bol niekedy použiteľný.

Prípona V2 je značka generácie protokolu pre túto rodinu paketov, nie verzia produktu a nie nastavenie, ktoré inštalujete. Nič v názve sa netýka resetovania tunela, reštartu služby alebo vymazania vyrovnávacej pamäte.

Čo klient v tej chvíli skutočne robí

Klient otvára identifikátor relácie, ku ktorému obe strany pripoja nasledujúcu riadiacu prevádzku. Ak je nakonfigurovaná ochrana riadiaceho kanála, tento prvý paket už nesie HMAC, ktorý príjemcovi umožní rozhodnúť, či má na zvyšok výmeny vynaložiť úsilie. Príjemca, ktorý ho nemôže overiť, paket ticho zahodí, a preto zlý zdieľaný kľúč vyzerá ako klient, ktorý hovorí do prázdna.

Používateľsky viditeľné sa ešte nič nestalo. Nebol overený žiadny certifikát, nebolo ponúknuté žiadne používateľské meno a nebola pridelená žiadna adresa tunela. Reset je predohrou handshake, takže akýkoľvek úsudok o spojení je v tomto bode predčasný.

V nečinnej slučke opakovaného pripájania je zaujímavým detailom interval. Klient, ktorý skúša znova v pevnom cykle bez pokroku, býva odmietnutý skôr, než sa môže posunúť, a dôvod je v logu partnera, nie v názve paketu.

Kde sa po resete skrýva skutočná porucha

Prečítajte oba logy vedľa seba a nájdite prvú udalosť, ktorá nie je reset. U klienta sa zlyhanie overenia certifikátu hlási s konkrétnym dôvodom: expirovaný certifikát, nesúlad názvu alebo neznámy vydavateľ. Na serveri sa odmietnutie prihlasovacích údajov hlási ako zlyhanie autentifikácie s vlastným dôvodom. Oboje je oveľa konkrétnejšie než opakovaný pohľad servera na nové pokusy.

Spárujte jeden pokus podľa časovej značky, namiesto toho, aby ste každý log čítali izolovane, pretože tá istá porucha sa objavuje na oboch miestach s inou formuláciou a inou závažnosťou. Partner, ktorý to vzdá, zvyčajne uvedie prečo.

Ak ani jedna strana nehlási odmietnutie a výmena napriek tomu viazne, hranicou je dosiahnuteľnosť, nie dôvera. Firewall, ktorý zahadzuje spätný smer, zariadenie na preklad sieťových adries, ktorému vyprší mapovanie, alebo problém s MTU, ktorý zabíja väčšie pakety handshake, to všetko vytvára zaseknutú výmenu bez akejkoľvek chyby autentifikácie.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Toto hľadanie nie je samo o sebe diagnózou, ale jedným krokom vás presunie od slovníka protokolu k skutočnej triede poruchy.

Prečo je vypnutie overovania nesprávny reflex

Keď sa reset stále objavuje, najrýchlejšie vyzerajúcou opravou je vypnúť overovanie certifikátov alebo sa vzdať ochrany riadiaceho kanála, aby sa niečo pripojilo. To vymení diagnostikovateľnú poruchu za nediagnostikovateľnú a nechá nasadenie prijímať partnerov, ktorých odmietanie bol jeho účel.

Zmeňte namiesto toho hranicu, ktorá skutočne zlyhala. Problém dôvery patrí certifikačnej autorite a profilu, ktorý na ňu odkazuje. Problém času patrí hodinám. Problém prihlasovacích údajov patrí autentifikačnému backendu, ktorý ich odmietol, a nedostupný partner patrí ceste medzi oboma hostiteľmi.

Opkód je v rozhovore s podporou užitočný na jednu vec: povie vám, že partner zašiel dosť ďaleko, aby to skúsil. Čo sa stalo potom, je to, čo potrebujete vedieť, a je to zapísané v tom logu, ktorý zaznamená prvé konkrétne odmietnutie. Začnite tam a riadok resetu prestane vyzerať ako príčina a začne vyzerať ako časová značka.