OpenVPN: การจับมือ TLS ล้มเหลว คุณอยู่บนกิ่งไหน

บรรทัดที่บอกว่าการจับมือ TLS ล้มเหลวคือตอนจบของเรื่อง ไม่ใช่ตอนเริ่ม สิ่งที่สำคัญคือเหตุการณ์ที่เกิดก่อนหน้าทันที เพราะเหตุการณ์นั้นระบุว่าคุณมีข้อบกพร่องแบบใดจากสี่แบบที่ต่างกันมาก การหมดเวลา ช่องควบคุมไม่ตรงกัน การปฏิเสธใบรับรอง และความล้มเหลวหลังการเจรจาต่างให้พาดหัวเดียวกัน เลือกกิ่งจากหลักฐาน แล้วการแก้ไขจะไม่ใช่การเดาอีก

อ่านเหตุการณ์สุดท้ายก่อนความล้มเหลว

เลื่อนขึ้นแทนการอ่านบรรทัดสุดท้าย เหตุการณ์ก่อนการตัดการเชื่อมต่อมักระบุขั้นตอน: ไม่มีการตอบกลับเลย เกิดข้อผิดพลาดขณะแลกเปลี่ยนแพ็กเก็ตควบคุม ผลการตรวจสอบ หรือการเจรจาที่สำเร็จตามด้วยผลการยืนยันตัวตน แต่ละอย่างเป็นของเจ้าของที่ต่างกัน บรรทัดเดียวนั้นกำหนดว่าส่วนใดด้านล่างใช้บังคับ

บันทึกข้อความข้อผิดพลาดพร้อมเวอร์ชันไคลเอนต์ จุดปลายทาง และการขนส่ง เก็บกุญแจ รหัสผ่าน และโปรไฟล์ที่ยังไม่ได้ปกปิดข้อมูลออกจากทุกสิ่งที่คุณวางเผยแพร่

ข้อผิดพลาดแรกที่แม่นยำมีค่ามากกว่าบันทึกยาวๆ มันระบุขั้นตอน และขั้นตอนระบุเจ้าของ

กิ่งที่หนึ่ง: ไม่มีอะไรกลับมา

ถ้าไคลเอนต์ส่งแพ็กเก็ตแรกและไม่ได้รับอะไรที่ใช้ได้ ปัญหาอยู่บนเส้นทางหรือที่ผู้รับฟัง ตรวจสอบว่าโปรไฟล์ตรงกับตัวเลือกที่ผู้ให้บริการเสนอจริง: ที่อยู่ พอร์ต และ UDP หรือ TCP จากนั้นตรวจว่าจุดปลายทางเข้าถึงได้จากเครือข่ายนี้หรือไม่ บันทึกว่าการตรวจสองอย่างนั้นอย่างไหนล้มเหลวก่อนไปต่อ

เบราว์เซอร์ที่โหลดหน้าเว็บบนชื่อโฮสต์เดียวกันพิสูจน์เพียงว่ามีบริการเว็บตอบกลับ แม้แต่การเชื่อมต่อ TCP ที่ได้รับการยอมรับก็ไม่บอกอะไรว่า OpenVPN เจรจาเสร็จหรือไม่

ถ้าโปรไฟล์ทำงานบนเครือข่ายที่เชื่อถือได้อื่น ให้เก็บการเปรียบเทียบนั้นไว้ มันจำกัดขอบเขตของข้อจำกัดไว้ที่เส้นทางหรือตัวกลาง

กิ่งที่สอง: ช่องควบคุมไม่ตรงกัน

เมื่อการแลกเปลี่ยนเริ่มแล้วหยุดชะงัก การตั้งค่าช่องควบคุมคือผู้ต้องสงสัยรายแรก tls-auth และ tls-crypt ต้องตรงกับการติดตั้ง และวัสดุจากเซิร์ฟเวอร์อื่นจะไม่ให้การแลกเปลี่ยนที่มีประโยชน์ ความล้มเหลวนี้เกิดก่อนการเข้าสู่ระบบบัญชีใดๆ โปรไฟล์ที่คัดลอกจากเซิร์ฟเวอร์เก่าคือแหล่งที่มาปกติ

การรีเซ็ตรหัสผ่านไม่ได้แทนที่การตั้งค่าเหล่านั้น และการขอยืมกุญแจจากบริการอื่นไม่ใช่การแก้ไขความเข้ากันได้ ขอโปรไฟล์ผ่านช่องทางที่ยืนยันแล้วของผู้ให้บริการและบันทึกเวอร์ชันไคลเอนต์ที่มันคาดหวัง

บันทึกข้อผิดพลาดการเจรจาที่เฉพาะเจาะจงแทนการเปิดอัลกอริทึมเก่ามากมายเพื่อดูว่าอะไรทนได้ ข้อความข้อผิดพลาดที่จับได้คือสิ่งที่ทำให้ผู้ให้บริการตรวจฝั่งของตนได้

กิ่งที่สาม: ใบรับรองถูกปฏิเสธ

ความล้มเหลวในการตรวจสอบอย่างชัดเจนระบุใบรับรองที่ไม่ชอบ ตรวจสอบนาฬิกาของอุปกรณ์ก่อน แล้วอ่านว่าวัตถุใดล้มเหลว ใบรับรองเซิร์ฟเวอร์ ใบรับรองไคลเอนต์ หรือผู้ออกในห่วงโซ่ การหมดอายุ ผู้ออกที่ไม่น่าเชื่อถือ และตัวตนที่ไม่คาดคิดเป็นสามข้อความที่ต่างกัน

เปิดการตรวจสอบไว้ขณะที่คุณหาวัสดุที่แก้ไขแล้ว การยอมรับใบรับรองที่ไม่เกี่ยวข้องจะลบข้อผิดพลาดโดยไม่พิสูจน์ว่าคุณไปถึงเซิร์ฟเวอร์ที่ตั้งใจ

บันทึกว่าความล้มเหลวตามเครือข่ายหรือตามโปรไฟล์ ข้อผิดพลาดใบรับรองที่ปรากฏทุกที่นั้นไม่ใช่ปัญหาเส้นทาง

กิ่งที่สี่: การเจรจาเสร็จสิ้นและมีอย่างอื่นล้มเหลว

เมื่อการแลกเปลี่ยนตัวตนสำเร็จ ความล้มเหลวที่เหลือเป็นของการยืนยันตัวตนหรือการกำหนดเส้นทาง การปฏิเสธบัญชีอย่างชัดเจนเป็นคำถามเรื่องการยืนยันตัวตน และอุโมงค์ที่เชื่อมต่ออยู่แต่เข้าถึงเว็บไซต์ไม่ได้คือ คำถามเรื่องการกำหนดเส้นทางหรือ DNS การเปลี่ยนตัวเลือก TLS ต่อไปในจุดนั้นจะทำให้ขั้นตอนที่ทำงานอยู่แล้วเสียหาย

เมื่อรายงานปัญหา บอกว่าทุกเครือข่ายล้มเหลวหรือไม่ โปรไฟล์อื่นทำงานหรือไม่ และเซิร์ฟเวอร์บันทึกความพยายามไว้หรือไม่ ความเงียบฝั่งเซิร์ฟเวอร์และการปฏิเสธจากฝั่งนั้นอยู่คนละขอบเขต