Šesťdesiatsekundový časový limit TLS: ktorá strana sa vlastne zastavila?

Klient to po šesťdesiatich sekundách vzdá so správou o vyjednávaní kľúčov a notebook k tomu nepovie, prečo. Tá veta opisuje trpezlivosť klienta, nie správanie servera. Spôsobujú to tri úplne odlišné situácie: paket sa nikdy nedostal k správnej službe, služba ho zahodila skôr, než čokoľvek zalogovala, alebo ho odmietla a povedala to niekde, kde to klient nevidí. Práve korelácia jedného pokusu na oboch koncoch ich oddeľuje.

Dajte jednému pokusu identitu, ktorú dokážete dohľadať

Zapíšte čas začiatku s jeho časovým pásmom, názov profilu, cieľ, ktorý klient skutočne preložil, port a to, či je spojenie UDP alebo TCP. Ak profil obsahuje viac vzdialených položiek, poznačte si, ktorú si tento pokus vybral, pretože opakovaný pokus sa mohol presunúť na ďalšiu položku bez zmeny súboru, ktorý čítate.

Vezmite koncový bod z aktívneho logu, nie zo stiahnutia, ktoré si pamätáte. Profil ukazujúci na súkromnú adresu je úplne platný a úplne nepoužiteľný zo siete, ktorá k nej nevie smerovať, a tento prípad vyzerá rovnako ako server, ktorý je mimo prevádzky.

Potom požiadajte prevádzkovateľa o to isté okno na zamýšľanej inštancii. Odchýlka hodín je dosť bežná na to, aby rozdiel niekoľkých minút spôsobil, že sa zodpovedajúca udalosť javí ako neprítomná, takže odchýlku zaznamenajte, namiesto toho, aby ste usúdili, že žiadna udalosť nebola.

Štyri pozorovania, štyri rôzne ďalšie kroky

Čo server zaznamená, určuje vetvu. Neprítomnosť akéhokoľvek pokusu ukazuje na adresovanie, transport alebo cestu k službe. Prichádzajúce pakety, ktoré zmiznú pred bežnou výmenou, ukazujú na požiadavky riadiaceho kanála skutočnej služby. Pomenované odmietnutie ukazuje na objekt, ktorý pomenúva. Odpovede, ktoré opustia server, ale nikdy nedorazia ku klientovi, ukazujú na spätnú cestu.

Prázdny aplikačný log je slabší dôkaz, než sa zdá. Logovanie sa začína v určitom bode výmeny a pakety zahodené pred týmto bodom nezanechajú v súbore, ktorý čítate, žiadnu stopu. Kde je to povolené, môže prevádzkovateľ použiť pozorovania služby a siete a zistiť, či vôbec niečo dorazilo.

Držte štyri výsledky v poznámkach oddelene. Pokušenie je zlúčiť ich do „server neodpovedá“, a to je fráza, ktorá posiela ľudí meniť šifry, keď je skutočným problémom pravidlo firewallu. Poznámka, ktorá zaznamená len slovo časový limit, zahodila rozlíšenie, za ktoré ste práve zaplatili.

Opravte fázu, ktorú dôkazy pomenúvajú

Dokončené TCP spojenie dokazuje len to, že niečo prijalo socket. Nedokazuje, že naslúchajúci je služba OpenVPN, ktorú ste nakonfigurovali, a webový server na rovnakom názve hostiteľa dokonale odpovedá prehliadaču, zatiaľ čo pre tunel je irelevantný.

Ak server hlási prepadnutý zoznam odvolaní, je to omnoho konkrétnejší fakt než konečný časový limit klienta a oprava patrí certifikačnej autorite, nie sieti. Ak sa oba konce nezhodujú na ochrane riadiaceho kanála alebo zdieľanom materiáli, reset hesla nič nezmení, pretože zahodenie nastane skôr, než sa preskúma akýkoľvek údaj.

Zmeňte jednu vec, ktorú dôkazy skutočne podporujú, a potom zopakujte ten istý profil proti tomu istému koncovému bodu. Ak spojenie postúpi ďalej, zachovajte prvú novú udalosť, pretože tá udalosť je ďalšia fáza vyšetrovania, nie nový problém.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Čo predĺženie okna skutočne mení

Šesťdesiat sekúnd je okno podania ruky klienta a komunitná referencia klienta dokumentuje voľbu, ktorá ho upravuje. Zvýšenie spôsobí, že klient čaká dlhšie, kým to vzdá. Nespôsobí, že sa neprítomná služba objaví, a neurobí odmietnutý paket prijateľným.

Dlhšie okno má opodstatnené použitie na pomalom spoji alebo silne zaťaženom serveri a stojí za vyskúšanie, keď máte dôkazy, že výmena postupuje pomaly, a nie že sa nedeje. Vyskúšať ho najprv len oddiali tú istú diagnózu o ďalšiu minútu a sťaží čítanie časovej osi. Ak časová os ukazuje výmenu, ktorá postupuje a potom sa zasekne, je okno príznakom zaťaženia, nie dostupnosti.