OpenVPN: rokovanje TLS ni uspelo – na kateri veji ste?

Vrstica, ki pravi, da rokovanje TLS ni uspelo, je konec zgodbe, ne njen začetek. Pomemben je dogodek tik pred njo, ker poimenuje, katero od štirih zelo različnih napak imate. Časovna omejitev, neusklajenost krmilnega kanala, zavrnitev certifikata in napaka po pogajanju dajo isti naslov. Izberite vejo po dokazih in popravek ne bo več ugibanje.

Preberite zadnji dogodek pred napako

Pomaknite se navzgor, namesto da bi brali zadnjo vrstico. Dogodek pred prekinitvijo običajno poimenuje stopnjo: nobenega odgovora, napaka pri izmenjavi krmilnih paketov, rezultat preverjanja ali uspešno pogajanje, ki mu sledi rezultat preverjanja pristnosti. Vsak od njih pripada drugemu lastniku. Ta ena vrstica odloči, kateri razdelek spodaj velja.

Shranite besedilo napake z različico odjemalca, končno točko in prenosom. Ključe, gesla in neurejene profile hranite zunaj vsega, kar javno prilepite.

Natančna prva napaka je vredna več kot dolg izvleček iz dnevnika. Poimenuje stopnjo, stopnja pa poimenuje lastnika.

Prva veja: nič se ni vrnilo

Če je odjemalec poslal svoj prvi paket in ni prejel nič uporabnega, je težava na poti ali pri poslušalcu. Potrdite, da se profil ujema z možnostjo, ki jo ponudnik resnično ponuja: naslov, vrata in UDP ali TCP. Nato preverite, ali je končna točka iz tega omrežja sploh dosegljiva. Zapišite, katero od teh dveh preverjanj ni uspelo, preden nadaljujete.

Brskalnik, ki naloži stran na istem imenu gostitelja, dokazuje le, da je spletna storitev odgovorila. Tudi sprejeta povezava TCP ne pove ničesar o tem, ali je OpenVPN dokončal pogajanje.

Če profil deluje v drugem zaupanja vrednem omrežju, to primerjavo obdržite. Omejitev umesti na pot ali na posrednika.

Druga veja: krmilni kanal se ne ujema

Ko se izmenjava začne in nato ustavi, so nastavitve krmilnega kanala prvi osumljenec. tls-auth in tls-crypt se morata ujemati z uvedbo, gradivo z drugega strežnika pa ne bo dalo uporabne izmenjave. Ta napaka se zgodi pred vsako prijavo v račun. Profil, kopiran s starejšega strežnika, je običajen vir.

Ponastavitev gesla ne nadomesti teh nastavitev, izposoja ključa pri drugi storitvi pa ni popravek združljivosti. Pridobite profil po preverjenem kanalu ponudnika in zapišite različico odjemalca, ki jo pričakuje.

Zabeležite konkretno napako pogajanja, namesto da vklopite kopico starejših algoritmov, da bi videli, kaj zdrži. Zajeto besedilo napake je tisto, kar ponudniku omogoči, da preveri svojo stran.

Tretja veja: certifikat je bil zavrnjen

Izrecna napaka preverjanja poimenuje certifikat, ki mu ni všeč. Najprej preverite uro naprave, nato preberite, kateri predmet ni uspel: strežniški certifikat, odjemalčev certifikat ali izdajatelj v verigi. Potek, nezaupanja vreden izdajatelj in nepričakovana identiteta so tri različna sporočila.

Preverjanje pustite vklopljeno, medtem ko pridobivate popravljeno gradivo. Sprejetje nepovezanega certifikata odpravi napako, ne da bi dokazalo, da ste dosegli predvideni strežnik.

Zapišite, ali napaka sledi omrežju ali profilu. Napaka certifikata, ki se pojavi povsod, ni težava poti.

Četrta veja: pogajanje se je končalo in nekaj drugega ni uspelo

Ko izmenjava identitete uspe, preostala napaka pripada preverjanju pristnosti ali usmerjanju. Izrecna zavrnitev računa je vprašanje preverjanja pristnosti, povezan predor z nedosegljivimi mesti pa je vprašanje usmerjanja ali DNS. Nadaljnje zamenjevanje možnosti TLS v tem trenutku škoduje stopnji, ki je že delovala.

Ko sporočite težavo, povejte, ali odpove vsako omrežje, ali deluje drug profil in ali je strežnik poskus zabeležil. Molk na strani strežnika in zavrnitev z njegove strani stojita na različnih mejah.