OpenVPN: рукостискання TLS не вдалося — на якій ви гілці?

Рядок про те, що рукостискання TLS не вдалося, — це кінець історії, а не її початок. Важлива подія безпосередньо перед ним, бо вона називає, яка з чотирьох зовсім різних несправностей у вас. Час очікування, невідповідність каналу керування, відмова сертифіката й збій після узгодження дають один і той самий заголовок. Виберіть гілку за доказами, і виправлення перестане бути здогадкою.

Прочитайте останню подію перед збоєм

Прокрутіть угору замість читання останнього рядка. Подія перед відключенням зазвичай називає етап: зовсім немає відповіді, помилка під час обміну керівними пакетами, результат перевірки або успішне узгодження з наступним результатом автентифікації. Кожна з них належить різному власнику. Цей єдиний рядок вирішує, який розділ нижче застосовний.

Збережіть текст помилки разом із версією клієнта, кінцевою точкою та транспортом. Тримайте ключі, паролі й невідредаговані профілі подалі від усього, що ви публікуєте.

Точна перша помилка цінніша за довгу витримку з журналу. Вона називає етап, а етап називає власника.

Гілка перша: нічого не повернулося

Якщо клієнт надіслав перший пакет і не отримав нічого придатного, проблема на шляху або в слухача. Підтвердьте, що профіль відповідає параметру, який оператор справді пропонує: адреса, порт і UDP або TCP. Потім перевірте, чи доступна кінцева точка з цієї мережі взагалі. Позначте, яка з двох перевірок не вдалася, перш ніж рухатися далі.

Браузер, що завантажує сторінку за тим самим іменем хоста, доводить лише те, що вебслужба відповіла. Навіть прийняте TCP-з'єднання нічого не каже про те, чи OpenVPN завершив узгодження.

Якщо профіль працює в іншій довіреній мережі, збережіть це порівняння. Воно локалізує обмеження на шляху або в посередника.

Гілка друга: канал керування не збігається

Коли обмін починається й потім застрягає, першим підозрюваним стають налаштування каналу керування. tls-auth і tls-crypt мають відповідати розгортанню, а матеріал з іншого сервера не дасть корисного обміну. Цей збій трапляється до будь-якого входу в акаунт. Профіль, скопійований зі старішого сервера, — звичайне джерело.

Скидання пароля не замінює ці налаштування, а позичання ключа в іншого сервісу не є виправленням сумісності. Отримайте профіль перевіреним каналом оператора й позначте версію клієнта, яку він очікує.

Запишіть конкретну помилку узгодження замість того, щоб вмикати купу старіших алгоритмів, аби побачити, що втримається. Саме зафіксований текст помилки дає оператору змогу перевірити свій бік.

Гілка третя: сертифікат було відхилено

Явний збій перевірки називає сертифікат, який йому не подобається. Спершу перевірте годинник пристрою, потім прочитайте, який об'єкт не пройшов: сертифікат сервера, сертифікат клієнта або видавець у ланцюжку. Закінчення терміну, недовірений видавець і неочікувана особа — це три різні повідомлення.

Тримайте перевірку ввімкненою, поки отримуєте виправлений матеріал. Прийняття стороннього сертифіката прибирає помилку, не доводячи, що ви дісталися потрібного сервера.

Позначте, чи збій іде за мережею, чи за профілем. Помилка сертифіката, що виникає всюди, — не проблема шляху.

Гілка четверта: узгодження завершилося, а щось інше не вдалося

Щойно обмін ідентичністю вдався, залишковий збій належить автентифікації або маршрутизації. Явна відмова акаунта — питання автентифікації, а підключений тунель із недоступними сайтами — це питання маршрутизації або DNS. Продовжувати замінювати параметри TLS у цей момент — означає шкодити етапу, який уже працював.

Коли повідомляєте про проблему, скажіть, чи відмовляє кожна мережа, чи працює інший профіль і чи сервер записав спробу. Мовчання на боці сервера й відмова з його боку стоять на різних межах.