OpenVPN: nadviazanie TLS zlyhalo – na ktorej vetve ste?

Riadok, ktorý hovorí, že nadviazanie TLS zlyhalo, je koniec príbehu, nie jeho začiatok. Dôležitá je udalosť tesne pred ním, pretože pomenúva, ktorú zo štyroch veľmi odlišných porúch máte. Časový limit, nezhoda riadiaceho kanála, odmietnutie certifikátu a zlyhanie po rokovaní dávajú rovnaký titulok. Vyberte vetvu podľa dôkazov a oprava prestane byť hádaním.

Prečítajte si poslednú udalosť pred zlyhaním

Skrolujte nahor namiesto čítania posledného riadku. Udalosť pred odpojením zvyčajne pomenúva fázu: žiadna odpoveď, chyba pri výmene riadiacich paketov, výsledok overenia alebo úspešné rokovanie nasledované výsledkom autentifikácie. Každá z nich patrí inému vlastníkovi. Ten jediný riadok rozhoduje, ktorá časť nižšie platí.

Uložte text chyby s verziou klienta, koncovým bodom a transportom. Kľúče, heslá a nezredigované profily držte mimo všetkého, čo verejne vkladáte.

Presná prvá chyba má väčšiu cenu než dlhý výňatok z logu. Pomenúva fázu a fáza pomenúva vlastníka.

Vetva prvá: nič sa nevrátilo

Ak klient odoslal prvý paket a nedostal nič použiteľné, problém je na ceste alebo u poslucháča. Potvrďte, že profil zodpovedá možnosti, ktorú operátor skutočne ponúka: adresa, port a UDP alebo TCP. Potom skontrolujte, či je koncový bod z tejto siete vôbec dostupný. Poznamenajte si, ktorá z tých dvoch kontrol zlyhala, skôr než budete pokračovať.

Prehliadač, ktorý načíta stránku na rovnakom názve hostiteľa, dokazuje len to, že webová služba odpovedala. Aj prijaté TCP spojenie nič nehovorí o tom, či OpenVPN dokončil rokovanie.

Ak profil funguje v inej dôveryhodnej sieti, toto porovnanie si ponechajte. Lokalizuje obmedzenie na cestu alebo prostredníka.

Vetva druhá: riadiaci kanál nesúhlasí

Keď výmena začne a potom sa zastaví, prvým podozrivým je nastavenie riadiaceho kanála. tls-auth a tls-crypt musia zodpovedať nasadeniu a materiál z iného servera nevytvorí užitočnú výmenu. Toto zlyhanie nastáva pred akýmkoľvek prihlásením k účtu. Profil skopírovaný zo staršieho servera je obvyklým zdrojom.

Obnovenie hesla tieto nastavenia nenahrádza a požičanie kľúča z inej služby nie je oprava kompatibility. Získajte profil overeným kanálom operátora a poznamenajte si verziu klienta, ktorú očakáva.

Zaznamenajte konkrétnu chybu rokovania, namiesto zapínania hromady starších algoritmov, aby ste videli, čo vydrží. Zachytený text chyby je to, čo operátorovi umožní skontrolovať jeho stranu.

Vetva tretia: certifikát bol odmietnutý

Výslovné zlyhanie overenia pomenúva certifikát, ktorý sa mu nepáči. Najprv skontrolujte hodiny zariadenia, potom čítajte, ktorý objekt zlyhal: certifikát servera, certifikát klienta alebo vydavateľ v reťazci. Vypršanie platnosti, nedôveryhodný vydavateľ a neočakávaná identita sú tri rôzne správy.

Nechajte overovanie zapnuté, kým nezískate opravený materiál. Prijatie nesúvisiaceho certifikátu odstráni chybu bez toho, aby preukázalo, že ste dosiahli zamýšľaný server.

Poznamenajte si, či zlyhanie nasleduje sieť alebo profil. Chyba certifikátu, ktorá sa objavuje všade, nie je problém cesty.

Vetva štvrtá: rokovanie skončilo a zlyhalo niečo iné

Keď výmena identity uspeje, zostávajúce zlyhanie patrí autentifikácii alebo smerovaniu. Výslovné odmietnutie účtu je otázka autentifikácie a pripojený tunel s nedostupnými stránkami je otázka smerovania alebo DNS. Pokračovať v tom momente vo výmene volieb TLS poškodzuje fázu, ktorá už fungovala.

Keď problém hlásite, povedzte, či zlyháva každá sieť, či funguje iný profil a či server pokus zaznamenal. Ticho na strane servera a odmietnutie z jeho strany stoja na rôznych hraniciach.