Altmış saniyelik TLS zaman aşımı: hangi taraf gerçekten durdu?

İstemci altmış saniye sonra anahtar anlaşmasıyla ilgili bir mesajla pes ediyor ve dizüstü bilgisayar neden olduğuna dair hiçbir görüş belirtmiyor. O cümle istemcinin sabrını tanımlıyor, sunucunun davranışını değil. Bunu birbirinden tamamen farklı üç durum üretiyor: paket hiçbir zaman doğru hizmete ulaşmadı, hizmet bir şey kaydetmeden onu attı ya da hizmet onu reddetti ve bunu istemcinin göremediği bir yerde söyledi. Tek bir denemeyi iki uçta eşleştirmek onları ayıran şeydir.

Tek bir denemeye arayabileceğiniz bir kimlik verin

Başlangıç saatini saat dilimiyle, profil adını, istemcinin gerçekte çözdüğü hedefi, bağlantı noktasını ve bağlantının UDP mi TCP mi olduğunu yazın. Profilde birden çok uzak giriş varsa, o denemenin hangisini seçtiğini not edin, çünkü yeni bir deneme okuduğunuz dosyayı değiştirmeden bir sonraki girişe geçmiş olabilir.

Uç noktayı hatırladığınız indirmeden değil, etkin günlükten alın. Özel bir adrese işaret eden profil tamamen geçerlidir ve oraya yönlendirme yapamayan bir ağdan tamamen kullanılamaz ve bu durum kapalı bir sunucuyla aynı görünür.

Ardından operatörden amaçlanan örnekte aynı pencereyi isteyin. Saat kayması o kadar yaygındır ki birkaç dakikalık fark, eşleşen bir olayın yokmuş gibi görünmesine yol açabilir, bu yüzden hiçbir olay olmadığı sonucuna varmak yerine farkı kaydedin.

Dört gözlem, dört farklı sonraki adım

Sunucunun ne kaydettiği dalı belirler. Herhangi bir denemenin yokluğu adreslemeye, taşımaya veya hizmete giden yola işaret eder. Olağan bir alışverişten önce kaybolan gelen paketler, gerçek hizmetin denetim kanalı gereksinimlerine işaret eder. Adlandırılmış reddetme, adını verdiği nesneye işaret eder. Sunucudan ayrılan ama istemciye asla ulaşmayan yanıtlar dönüş yoluna işaret eder.

Boş bir uygulama günlüğü göründüğünden daha zayıf bir kanıttır. Günlükleme alışverişin belirli bir noktasında başlar ve o noktadan önce atılan paketler okuduğunuz dosyada iz bırakmaz. İzin verildiği yerlerde operatör, hizmet ve ağ gözlemlerini kullanarak herhangi bir şeyin gelip gelmediğini görebilir.

Notlarınızda dört sonucu ayrı tutun. Cazibe onları “sunucu yanıt vermiyor” diye birleştirmektir ve gerçek sorun bir güvenlik duvarı kuralı olduğunda insanları şifreleme yöntemini değiştirmeye gönderen tam olarak bu cümledir. Yalnızca zaman aşımı sözcüğünü kaydeden bir not, az önce bedelini ödediğiniz ayrımı çöpe atmıştır.

Kanıtın adlandırdığı aşamayı düzeltin

Tamamlanan bir TCP bağlantısı yalnızca bir şeyin soketi kabul ettiğini kanıtlar. Dinleyicinin yapılandırdığınız OpenVPN hizmeti olduğunu kanıtlamaz ve aynı ana bilgisayar adındaki bir web sunucusu tarayıcıya kusursuz yanıt verirken tünel için ilgisizdir.

Sunucu süresi geçmiş bir iptal listesi bildirirse, bu istemcinin nihai zaman aşımından çok daha belirli bir olgudur ve düzeltme ağa değil sertifika makamına aittir. İki uç, denetim kanalı koruması veya paylaşılan malzeme konusunda anlaşamıyorsa parola sıfırlamak hiçbir şeyi değiştirmez, çünkü atma herhangi bir kimlik bilgisi incelenmeden önce gerçekleşir.

Kanıtın gerçekten desteklediği tek bir şeyi değiştirin, ardından aynı profili aynı uç noktaya karşı yineleyin. Bağlantı daha ileri giderse ilk yeni olayı saklayın, çünkü o olay yeni bir sorun değil, soruşturmanın bir sonraki aşamasıdır.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Pencereyi uzatmak gerçekte neyi değiştirir

Altmış saniye istemcinin el sıkışma penceresidir ve topluluk istemci başvurusu onu ayarlayan seçeneği belgeler. Yükseltmek istemcinin pes etmeden önce daha uzun beklemesini sağlar. Olmayan bir hizmeti ortaya çıkarmaz ve reddedilen bir paketi kabul edilebilir kılmaz.

Yavaş bir bağlantıda veya ağır yük altındaki bir sunucuda daha uzun pencerenin meşru bir kullanımı vardır ve alışverişin hiç olmadığı değil yavaş ilerlediğine dair kanıtınız olduğunda denemeye değer. Önce denemek yalnızca aynı tanıyı bir dakika daha geciktirir ve zaman çizelgesini okumayı zorlaştırır. Zaman çizelgesi ilerleyip sonra duran bir alışveriş gösteriyorsa pencere, erişilebilirliğin değil yükün belirtisidir.