Logdaki P_CONTROL_HARD_RESET_CLIENT_V2: bu bir hata mı?

Satır birkaç saniyede bir yineleniyor ve her şeyin nedeni gibi görünüyor: control hard reset adlı bir paket, hiçbir yere ulaşamayan bir istemciden geliyor. Bu bir hata değil. Yeni bir oturumun ilk mesajı; yineleme ise daha ileride başka bir şeyin başarısız olduğunun belirtisi. Etiketin söylediğiyle bağlantının sonra ne yaptığını ayırmak, tanının tamamıdır.

Opcode protokoldeki bir konumu adlandırır

OpenVPN birkaç paket türünü tek bir soket üzerinden çoklar ve opcode alıcıya hangi türü tuttuğunu söyler. hard-reset paketleri oturum açar, denetim paketleri el sıkışma malzemesi taşır, onaylar alındıyı doğrular ve veri paketleri tünelin yükünü taşır. İlk baytı okumak, paketin bu alışverişte nereye ait olduğunu gösterir ve kaynak koddaki paket tanımları her aileyi açıkça adlandırır.

Söylediği tek şey bu. Başlangıç istemci sıfırlaması olarak etiketlenmiş bir paket, paketin gözlem noktanıza ulaştığını ve eşin bir oturum başlatmak istediğini kanıtlar. İstemcinin sertifikanıza güvendiğini, kimlik bilgilerinin kabul edildiğini veya bir veri kanalının hiç kullanılabilir hale geldiğini kanıtlamaz.

V2 son eki o paket ailesi için protokol nesli işaretidir; ürün sürümü değil, kurduğunuz bir ayar da değil. Addaki hiçbir şey tüneli sıfırlamaya, hizmeti yeniden başlatmaya veya önbelleği temizlemeye gönderme yapmaz.

O anda istemci gerçekte ne yapıyor

İstemci, iki ucun sonraki denetim trafiğini bağlayacağı bir oturum tanımlayıcısı açar. Denetim kanalı koruması yapılandırılmışsa o ilk paket, alıcının alışverişin geri kalanına çaba harcamaya değer olup olmadığına karar vermesini sağlayan HMAC'i zaten taşır. Bunu doğrulayamayan alıcı paketi sessizce düşürür; yanlış ortak anahtarın boşluğa konuşan bir istemci gibi görünmesinin nedeni budur.

Kullanıcıya görünen hiçbir şey henüz olmadı. Hiçbir sertifika doğrulanmadı, hiçbir kullanıcı adı sunulmadı ve hiçbir tünel adresi atanmadı. Sıfırlama el sıkışmanın önsözüdür, bu yüzden bu noktada bağlantı hakkında herhangi bir yargı erken.

Boşta bir yeniden bağlanma döngüsünde ilginç ayrıntı aralıktır. Sabit bir çevrimde ilerleme olmadan yeniden deneyen istemci genellikle ilerleyemeden reddedilir ve neden paket adında değil, eşin günlüğündedir.

Sıfırlamadan sonra gerçek hata nerede saklanıyor

İki günlüğü yan yana okuyun ve sıfırlama olmayan ilk olayı bulun. İstemcide sertifika doğrulama hatası belirli gerekçeyle bildirilir: süresi dolmuş sertifika, ad uyuşmazlığı veya bilinmeyen veren. Sunucuda kimlik bilgisi reddi, kendi gerekçesiyle bir kimlik doğrulama hatası olarak bildirilir. İkisi de sunucunun yeni denemelere ilişkin yinelenen bakışından çok daha belirlidir.

Her günlüğü ayrı ayrı okumak yerine tek bir denemeyi zaman damgasıyla eşleştirin, çünkü aynı hata her iki yerde farklı ifadelerle ve farklı ağırlıkla görünür. Pes eden eş genellikle nedenini söyler.

Hiçbir taraf ret bildirmiyor ve alışveriş yine de takılıyorsa sınır güven değil erişilebilirliktir. Dönüş yönünü düşüren bir güvenlik duvarı, eşlemesi süresi dolan bir ağ adresi çeviri cihazı veya daha büyük el sıkışma paketlerini öldüren bir MTU sorunu, hepsi hiçbir kimlik doğrulama hatası olmadan takılmış bir alışveriş üretir.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Bu arama tek başına tanı değildir, ama sizi tek adımda protokol sözlüğünden gerçek bir hata sınıfına taşır.

Doğrulamayı kapatmak neden yanlış bir refleks

Sıfırlama görünmeye devam ettiğinde en hızlı görünen düzeltme, herhangi bir şeyin bağlanması için sertifika doğrulamasını kapatmak veya denetim kanalı korumasından vazgeçmektir. Bu, tanılanabilir bir hatayı tanılanamaz bir hatayla değiştirir ve dağıtımı, reddetmek için kurulduğu eşleri kabul eder durumda bırakır.

Bunun yerine gerçekte başarısız olan sınırı değiştirin. Güven sorunu sertifika otoritesine ve ona başvuran profile aittir. Zaman sorunu saate aittir. Kimlik bilgisi sorunu onları reddeden kimlik doğrulama arka ucuna aittir ve ulaşılamayan eş iki ana bilgisayar arasındaki yola aittir.

Opcode bir destek konuşmasında tek bir şey için yararlıdır: eşin denemek için yeterince ilerlediğini söyler. Ondan sonra ne olduğu bilmeniz gereken şeydir ve ilk belirli reti kaydeden günlükte yazılıdır. Oradan başlayın; sıfırlama satırı neden gibi görünmeyi bırakıp zaman damgası gibi görünmeye başlar.