OpenVPN: TLS руковање није успело — на којој сте грани?

Ред који каже да TLS руковање није успело је крај приче, а не њен почетак. Важан је догађај непосредно пре њега, јер тај догађај именује која је од четири веома различите грешке код вас. Истек времена, неусклађеност контролног канала, одбијање сертификата и неуспех после преговарања дају исти наслов. Изаберите грану према доказима и поправка престаје да буде нагађање.

Прочитајте последњи догађај пре неуспеха

Померите се горе уместо да читате последњи ред. Догађај пре прекида обично именује фазу: никакав одговор, грешка при размени контролних пакета, резултат провере или успешно преговарање за којим следи исход аутентификације. Сваки од њих припада другом власнику. Тај један ред одлучује који се одељак испод примењује.

Сачувајте текст грешке са верзијом клијента, крајњом тачком и преносом. Држите кључеве, лозинке и нередаговане профиле изван свега што јавно лепите.

Тачна прва грешка вреди више од дугог извода из дневника. Именује фазу, а фаза именује власника.

Грана прва: ништа се није вратило

Ако је клијент послао свој први пакет и није добио ништа употребљиво, проблем је на путу или код слушаоца. Потврдите да профил одговара опцији коју оператер заиста нуди: адреса, порт и UDP или TCP. Затим проверите да ли је крајња тачка уопште доступна са ове мреже. Забележите која од те две провере није успела пре него што наставите.

Прегледач који учита страницу на истом имену хоста доказује само да је веб услуга одговорила. Чак и прихваћена TCP веза не говори ништа о томе да ли је OpenVPN завршио преговарање.

Ако профил ради на другој поузданој мрежи, задржите то поређење. Оно ограничава ограничење на пут или посредника.

Грана друга: контролни канал се не подудара

Када размена почне па стане, подешавања контролног канала су први осумњичени. tls-auth и tls-crypt морају да одговарају распоређивању, а материјал са другог сервера неће дати корисну размену. Тај неуспех се дешава пре било какве пријаве на налог. Профил копиран са старијег сервера је уобичајен извор.

Ресетовање лозинке не замењује та подешавања, а позајмљивање кључа са друге услуге није поправка компатибилности. Набавите профил преко провереног канала оператера и забележите верзију клијента коју очекује.

Забележите конкретну грешку преговарања уместо да укључите гомилу старијих алгоритама да видите шта ће се задржати. Забележен текст грешке је оно што омогућава оператеру да провери своју страну.

Грана трећа: сертификат је одбијен

Изричит неуспех провере именује сертификат који му се не свиђа. Прво проверите сат уређаја, затим прочитајте који објекат није прошао: серверски сертификат, клијентски сертификат или издавач у ланцу. Истек, неповерљив издавач и неочекивани идентитет су три различите поруке.

Држите проверу укључену док набављате исправљени материјал. Прихватање неповезаног сертификата уклања грешку без доказа да сте стигли до предвиђеног сервера.

Забележите да ли неуспех прати мрежу или профил. Грешка сертификата која се појављује свуда није проблем пута.

Грана четврта: преговарање је завршено и нешто друго није успело

Када размена идентитета успе, преостали неуспех припада аутентификацији или усмеравању. Изричито одбијање налога је питање аутентификације, а повезан тунел са недостапним локацијама је питање усмеравања или DNS-а. Наставак замене TLS опција у том тренутку штети фази која је већ радила.

Када пријављујете проблем, реците да ли свака мрежа не успева, да ли други профил ради и да ли је сервер забележио покушај. Тишина на страни сервера и одбијање са његове стране стоје на различитим границама.