TLS тајмаут од шездесет секунди: која страна је заиста стала?

Клијент одустаје после шездесет секунди са поруком о преговарању кључева, а лаптоп не даје мишљење зашто. Та реченица описује стрпљење клијента, а не понашање сервера. Стварају је три потпуно различите ситуације: пакет никада није стигао до праве услуге, услуга га је одбацила пре него што је било шта забележила, или га је услуга одбила и то рекла негде где клијент не може да види. Управо повезивање једног покушаја на обе стране их раздваја.

Дајте једном покушају идентитет који можете да тражите

Запишите време почетка са његовом временском зоном, назив профила, одредиште које је клијент заиста решио, порт и то да ли је веза UDP или TCP. Ако профил садржи више удаљених уноса, забележите који је тај покушај изабрао, јер се поновни покушај можда пребацио на следећи унос без промене датотеке коју читате.

Узмите крајњу тачку из активног дневника, а не из преузимања којег се сећате. Профил који показује на приватну адресу потпуно је валидан и потпуно неупотребљив из мреже која не може да усмерава ка њој, а тај случај изгледа исто као сервер који је искључен.

Затим затражите од оператера исти прозор на предвиђеној инстанци. Одступање сатова је довољно често да разлика од неколико минута може учинити да одговарајући догађај изгледа одсутан, зато забележите одступање уместо да закључите да догађаја није било.

Четири запажања, четири различита следећа корака

Оно што сервер забележи одређује грану. Одсуство било каквог покушаја упућује на адресирање, транспорт или пут до услуге. Долазни пакети који нестану пре уобичајене размене упућују на захтеве контролног канала стварне услуге. Именовано одбијање упућује на објекат који именује. Одговори који напусте сервер, али никада не стигну до клијента, упућују на повратни пут.

Празан дневник апликације је слабији доказ него што изгледа. Евидентирање почиње у одређеној тачки размене, а пакети одбачени пре те тачке не остављају траг у датотеци коју читате. Тамо где је то дозвољено, оператер може да користи запажања услуге и мреже да види да ли је ишта стигло.

Држите четири исхода одвојено у својим белешкама. Искушење је да их спојите у „сервер не одговара“, а то је фраза која шаље људе да мењају шифре када је стварни проблем правило заштитног зида. Белешка која бележи само реч тајмаут одбацила је разлику за коју сте управо платили.

Поправите фазу коју именују докази

Завршена TCP веза доказује само да је нешто прихватило сокет. Не доказује да је слушалац услуга OpenVPN коју сте конфигурисали, а веб сервер на истом називу домаћина савршено одговара прегледачу док је за тунел небитан.

Ако сервер пријави истеклу листу за опозив, то је далеко конкретнија чињеница од коначног тајмаута клијента, и поправка припада органу за сертификате, а не мрежи. Ако се две стране не слажу око заштите контролног канала или заједничког материјала, ресетовање лозинке ништа не мења, јер се одбацивање дешава пре него што се прегледа било који акредитив.

Промените једну ствар коју докази заиста подржавају, затим поновите исти профил према истој крајњој тачки. Сачувајте први нови догађај ако веза оде даље, јер је тај догађај следећа фаза истраге, а не нови проблем.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Шта продужење прозора заиста мења

Шездесет секунди је прозор руковања клијента, и референца клијента заједнице документује опцију која га подешава. Његово повећање тера клијента да чека дуже пре него што одустане. Оно не чини да се одсутна услуга појави и не чини одбијен пакет прихватљивим.

Дужи прозор има легитимну употребу на спорој вези или јако оптерећеном серверу, и вреди га испробати када имате доказе да размена напредује споро, а не да се уопште не дешава. Његово прво испробавање само одлаже исту дијагнозу за још један минут и чини временску линију тежом за читање. Ако временска линија показује размену која напредује и затим стане, прозор је симптом оптерећења, а не доступности.