Šestdesetsekundna časovna omejitev TLS: katera stran se je zares ustavila?

Odjemalec obupa po šestdesetih sekundah s sporočilom o pogajanju o ključih, prenosnik pa ne pove, zakaj. Ta stavek opisuje potrpežljivost odjemalca, ne vedenja strežnika. Ustvarjajo ga tri povsem različne situacije: paket ni nikoli prispel do prave storitve, storitev ga je zavrgla, preden je karkoli zabeležila, ali pa ga je zavrnila in to povedala nekje, kjer odjemalec tega ne vidi. Prav primerjava enega poskusa na obeh koncih jih loči.

Enemu poskusu dajte identiteto, ki jo lahko poiščete

Zapišite začetni čas z njegovim časovnim pasom, ime profila, cilj, ki ga je odjemalec dejansko razrešil, vrata in ali je povezava UDP ali TCP. Če ima profil več oddaljenih vnosov, zabeležite, katerega je ta poskus izbral, ker se je ponovni poskus morda premaknil na naslednji vnos, ne da bi spremenil datoteko, ki jo berete.

Koncevno točko vzemite iz aktivnega dnevnika, ne iz prenosa, ki se ga spomnite. Profil, ki kaže na zasebni naslov, je povsem veljaven in povsem neuporaben iz omrežja, ki tja ne more usmerjati, in ta primer je videti enako kot strežnik, ki je izklopljen.

Nato prosite operaterja za isto okno na predvideni instanci. Odmik ure je dovolj pogost, da lahko nekajminutna razlika povzroči, da se ujemajoči dogodek zdi odsoten, zato zabeležite odmik, namesto da bi sklepali, da dogodka ni bilo.

Štiri opažanja, štirje različni naslednji koraki

Kar strežnik zabeleži, odloči vejo. Odsotnost kakršnega koli poskusa kaže na naslavljanje, prenos ali pot do storitve. Dohodni paketi, ki izginejo pred običajno izmenjavo, kažejo na zahteve krmilnega kanala dejanske storitve. Imenovana zavrnitev kaže na objekt, ki ga imenuje. Odgovori, ki zapustijo strežnik, a nikoli ne dosežejo odjemalca, kažejo na povratno pot.

Prazen dnevnik aplikacije je šibkejši dokaz, kot se zdi. Beleženje se začne na določeni točki izmenjave in paketi, zavrženi pred to točko, v datoteki, ki jo berete, ne pustijo sledi. Kjer je to dovoljeno, lahko operater uporabi opažanja storitve in omrežja, da vidi, ali je sploh kaj prispelo.

Štiri izide imejte v zapiskih ločene. Skušnjava je, da jih združite v „strežnik se ne odziva“, in prav ta stavek pošilja ljudi menjati šifre, ko je resnična težava pravilo požarnega zidu. Zapis, ki zabeleži samo besedo časovna omejitev, je zavrgel razlikovanje, za katero ste pravkar plačali.

Popravite fazo, ki jo imenujejo dokazi

Dokončana povezava TCP dokazuje le, da je nekaj sprejelo vtičnico. Ne dokazuje, da je poslušalec storitev OpenVPN, ki ste jo nastavili, in spletni strežnik na istem imenu gostitelja odlično odgovori brskalniku, medtem ko je za tunel nepomemben.

Če strežnik poroča o poteklem seznamu preklicev, je to veliko bolj posebno dejstvo kot končna časovna omejitev odjemalca, in popravek pripada certifikatni oblasti in ne omrežju. Če se konca ne strinjata glede zaščite krmilnega kanala ali skupnega gradiva, ponastavitev gesla ne spremeni ničesar, ker se zavrženje zgodi, preden je pregledana katera koli poverilnica.

Spremenite eno stvar, ki jo dokazi resnično podpirajo, nato ponovite isti profil proti isti končni točki. Če povezava napreduje dlje, ohranite prvi novi dogodek, ker je ta dogodek naslednja faza preiskave in ne nova težava.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Kaj podaljšanje okna zares spremeni

Šestdeset sekund je okno rokovanja odjemalca in skupnostna referenca odjemalca dokumentira možnost, ki ga prilagodi. Povečanje povzroči, da odjemalec čaka dlje, preden obupa. Ne povzroči, da bi se odsotna storitev pojavila, in ne naredi zavrnjenega paketa sprejemljivega.

Daljše okno ima legitimno uporabo na počasni povezavi ali močno obremenjenem strežniku in vredno ga je preizkusiti, ko imate dokaze, da izmenjava napreduje počasi in ne da se sploh ne dogaja. Če ga preizkusite najprej, le odložite isto diagnozo še za minuto in naredite časovnico težje berljivo. Če časovnica kaže izmenjavo, ki napreduje in se nato ustavi, je okno simptom obremenitve in ne dosegljivosti.