Afati TLS prej gjashtëdhjetë sekondash: cila anë ndaloi në të vërtetë?

Klienti dorëzohet pas gjashtëdhjetë sekondash me një mesazh për negociimin e çelësave, dhe laptopi nuk jep asnjë mendim për arsyen. Ai fjali përshkruan durimin e klientit, jo sjelljen e serverit. Tre situata krejt të ndryshme e prodhojnë atë: paketa nuk arriti kurrë te shërbimi i duhur, shërbimi e hodhi poshtë para se të regjistronte çdo gjë, ose shërbimi e refuzoi dhe e tha diku ku klienti nuk mund ta shohë. Është pikërisht korrelimi i një prove në të dy skajet ai që i ndan ato.

Jepini një prove një identitet që mund ta kërkoni

Shkruani kohën e nisjes me zonën e saj kohore, emrin e profilit, destinacionin që klienti zgjidhi në të vërtetë, portin dhe nëse lidhja është UDP ose TCP. Nëse profili përmban disa hyrje të largëta, shënoni cilën zgjodhi ajo provë, sepse një provë e re mund të jetë zhvendosur te hyrja tjetër pa ndryshuar skedarin që po lexoni.

Merreni pikën fundore nga regjistri aktiv, jo nga shkarkimi që ju kujtohet. Një profil që tregon një adresë private është plotësisht i vlefshëm dhe plotësisht i papërdorshëm nga një rrjet që nuk mund të routojë drejt tij, dhe ai rast duket identik me një server që është i fikur.

Pastaj kërkojini operatorit të njëjtën dritare në instancën e synuar. Zhvendosja e orës është mjaft e zakonshme sa një diferencë prej disa minutash mund ta bëjë një ngjarje që përputhet të duket e papranishme, prandaj regjistroni diferencën në vend që të konkludoni se nuk pati ngjarje.

Katër vëzhgime, katër hapa të ndryshëm në vijim

Ajo që serveri regjistron vendos degën. Mungesa e çdo prove të drejton te adresimi, transporti ose rruga drejt shërbimit. Paketat hyrëse që zhduken para një shkëmbimi të zakonshëm të drejtojnë te kërkesat e kanalit të kontrollit të shërbimit real. Një refuzim i emërtuar të drejton te objekti që emërton. Përgjigjet që largohen nga serveri por nuk arrijnë kurrë te klienti të drejtojnë te rruga e kthimit.

Një regjistër aplikacioni bosh është provë më e dobët sesa duket. Regjistrimi fillon në një pikë të caktuar të shkëmbimit, dhe paketat e hedhura para asaj pike nuk lënë asnjë gjurmë në skedarin që po lexoni. Aty ku lejohet, operatori mund të përdorë vëzhgimet e shërbimit dhe të rrjetit për të parë nëse arriti ndonjë gjë.

Mbajini katër rezultatet të ndara në shënimet tuaja. Tundimi është t'i shkrirë ato në „serveri nuk përgjigjet“, dhe pikërisht kjo fjali i dërgon njerëzit të ndryshojnë shifrat kur problemi real është një rregull firewalls. Një shënim që regjistron vetëm fjalën afat ka hedhur poshtë dallimin për të cilin sapo paguat.

Rregulloni fazën që emërtojnë provat

Një lidhje TCP e përfunduar provon vetëm se diçka pranoi një socket. Ajo nuk provon se dëgjuesi është shërbimi OpenVPN që konfiguruat, dhe një server web në të njëjtin emër hosti i përgjigjet në mënyrë të përsosur një shfletuesi ndërkohë që është i parëndësishëm për tunelin.

Nëse serveri raporton një listë të skaduar të anulimeve, ai është një fakt shumë më i veçantë se afati përfundimtar i klientit, dhe rregullimi i takon autoritetit të certifikatave dhe jo rrjetit. Nëse dy skajet nuk bien dakord për mbrojtjen e kanalit të kontrollit ose materialin e përbashkët, rivendosja e një fjalëkalimi nuk ndryshon asgjë, sepse hedhja ndodh para se të ekzaminohet çdo kredencial.

Ndryshoni një gjë që provat vërtet e mbështesin, pastaj përsëritni të njëjtin profil kundër të njëjtës pikë fundore. Ruani ngjarjen e parë të re nëse lidhja shkon më tej, sepse ajo ngjarje është faza tjetër e hetimit, jo një problem i ri.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Çfarë ndryshon në të vërtetë zgjatja e dritares

Gjashtëdhjetë sekonda është dritarja e shtrëngimit të duarve e klientit, dhe referenca e klientit të komunitetit dokumenton opsionin që e rregullon atë. Rritja e saj e bën klientin të presë më gjatë para se të dorëzohet. Ajo nuk bën një shërbim që mungon të shfaqet dhe nuk e bën të pranueshëm një paketë të refuzuar.

Një dritare më e gjatë ka përdorim të ligjshëm në një lidhje të ngadaltë ose në një server shumë të ngarkuar, dhe ia vlen ta provoni kur keni prova se shkëmbimi po ecën ngadalë dhe jo se nuk po ndodh fare. Ta provoni së pari thjesht e vonon të njëjtin diagnozë edhe një minutë dhe e bën afatin kohor më të vështirë për t'u lexuar. Nëse afati kohor tregon një shkëmbim që ecën përpara dhe pastaj ngec, dritarja është simptom i ngarkesës dhe jo i arritshmërisë.