OpenVPN: nabigo ang TLS handshake – sa aling sangay ka?

Ang linyang nagsasabing nabigo ang TLS handshake ay katapusan ng isang kuwento, hindi simula. Ang mahalaga ay ang pangyayaring kaagad bago nito, dahil pinapangalanan nito kung alin sa apat na magkakaibang depekto ang mayroon ka. Ang timeout, hindi pagkakatugma ng control channel, pagtanggi sa sertipiko at pagkabigo pagkatapos ng negosasyon ay lahat nagbubunga ng parehong pamagat. Piliin ang sangay batay sa ebidensya, at ang pagwawasto ay hindi na hula.

Basahin ang huling pangyayari bago ang pagkabigo

Mag-scroll pataas sa halip na basahin ang huling linya. Ang pangyayari bago ang paghinto ay karaniwang nagpapangalan ng yugto: walang sagot, isang error habang nagpapalitan ng control packets, isang resulta ng beripikasyon, o matagumpay na negosasyon na sinusundan ng resulta ng authentication. Bawat isa sa mga iyon ay pag-aari ng ibang may-ari. Ang isang linyang iyon ang nagtatakda kung aling seksyon sa ibaba ang naaangkop.

I-save ang teksto ng error kasama ang bersyon ng client, endpoint at transport. Ilayo ang mga key, password at hindi na-edit na profile sa anumang ipinapaskil mo nang pampubliko.

Ang tumpak na unang error ay mas mahalaga kaysa sa mahabang sipi ng log. Pinapangalanan nito ang yugto, at pinapangalanan ng yugto ang may-ari.

Sangay isa: walang bumalik

Kung nagpadala ang client ng unang packet at walang natanggap na kapaki-pakinabang, ang problema ay nasa landas o sa tagapakinig. Tiyakin na tumutugma ang profile sa opsyong talagang inaalok ng operator: address, port at UDP o TCP. Pagkatapos ay tingnan kung maabot ba ang endpoint mula sa network na ito. Itala kung alin sa dalawang pagsusuring iyon ang nabigo bago magpatuloy.

Ang browser na naglo-load ng pahina sa parehong hostname ay nagpapatunay lamang na may sumagot na web service. Kahit ang tinanggap na TCP connection ay walang sinasabi tungkol sa kung OpenVPN natapos ang negosasyon.

Kung gumagana ang profile sa ibang pinagkakatiwalaang network, itago ang paghahambing na iyon. Inilalagay nito ang paghihigpit sa isang landas o tagapamagitan.

Sangay dalawa: hindi tugma ang control channel

Kapag nagsimula ang pagpapalitan at pagkatapos ay natigil, ang mga setting ng control channel ang unang pinaghihinalaan. Ang tls-auth at tls-crypt ay dapat tumugma sa deployment, at ang materyal mula sa ibang server ay hindi magbubunga ng kapaki-pakinabang na pagpapalitan. Nangyayari ang kabiguan na ito bago ang anumang pag-login sa account. Ang profile na kinopya mula sa lumang server ang karaniwang pinagmulan.

Ang pag-reset ng password ay hindi pumapalit sa mga setting na iyon, at ang paghiram ng key mula sa ibang serbisyo ay hindi pagwawasto ng compatibility. Kunin ang profile sa beripikadong channel ng operator at itala ang bersyon ng client na inaasahan nito.

Itala ang partikular na error sa negosasyon sa halip na magbukas ng bunton ng lumang algorithm upang makita kung ano ang tatagal. Ang nakuhang teksto ng error ang nagbibigay-daan sa operator na suriin ang kanyang panig.

Sangay tatlo: tinanggihan ang isang sertipiko

Ang tahasang pagkabigo sa beripikasyon ay nagpapangalan ng sertipikong hindi nito gusto. Suriin muna ang orasan ng device, pagkatapos ay basahin kung aling bagay ang nabigo: sertipiko ng server, sertipiko ng client, o issuer sa chain. Ang pag-expire, hindi pinagkakatiwalaang issuer at hindi inaasahang pagkakakilanlan ay tatlong magkakaibang mensahe.

Panatilihing naka-on ang beripikasyon habang kumukuha ka ng itinamang materyal. Ang pagtanggap ng walang kaugnayang sertipiko ay nag-aalis ng error nang hindi pinatutunayan na naabot mo ang inilaan na server.

Itala kung sinusundan ng kabiguan ang network o ang profile. Ang error sa sertipiko na lumilitaw sa lahat ng dako ay hindi problema sa landas.

Sangay apat: natapos ang negosasyon at may ibang nabigo

Kapag nagtagumpay ang pagpapalitan ng pagkakakilanlan, ang natitirang kabiguan ay pag-aari ng authentication o ng routing. Ang tahasang pagtanggi sa account ay tanong ng authentication, at ang konektadong tunnel na may mga site na hindi maabot ay tanong ng routing o DNS. Ang patuloy na pagpapalit ng mga opsyong TLS sa puntong iyon ay nakakasira sa yugtong gumagana na.

Kapag iniulat mo ang problema, sabihin kung bumabagsak ang bawat network, kung gumagana ang ibang profile, at kung naitala ng server ang pagtatangka. Ang katahimikan sa panig ng server at ang pagtanggi mula rito ay nakatayo sa magkaibang hangganan.