Шістдесятисекундний тайм-аут TLS: який бік насправді зупинився?

Клієнт здається через шістдесят секунд із повідомленням про узгодження ключів, а ноутбук не висловлює думки про причину. Це речення описує терпіння клієнта, а не поведінку сервера. Його породжують три зовсім різні ситуації: пакет так і не дійшов до потрібної служби, служба відкинула його, не записавши нічого, або служба відхилила його й сказала про це там, де клієнт не бачить. Саме зіставлення однієї спроби на обох кінцях і розрізняє їх.

Дайте одній спробі ідентичність, яку можна знайти

Запишіть час початку з його часовим поясом, назву профілю, адресу призначення, яку клієнт справді розв'язав, порт і те, чи з'єднання використовує UDP або TCP. Якщо профіль містить кілька віддалених записів, занотуйте, який вибрав цей дослід, бо повторна спроба могла перейти до наступного запису, не змінюючи файл, який ви читаєте.

Беріть кінцеву точку з активного журналу, а не із завантаження, яке пам'ятаєте. Профіль, що вказує на приватну адресу, цілком чинний і цілком непридатний з мережі, яка не може маршрутизувати до неї, і цей випадок виглядає так само, як вимкнений сервер.

Потім попросіть оператора про те саме вікно на потрібному примірнику. Розбіжність годинників трапляється досить часто, щоб різниця в кілька хвилин зробила відповідну подію відсутньою на вигляд, тож зафіксуйте зсув, а не робіть висновок, що події не було.

Чотири спостереження, чотири різні наступні кроки

Що сервер фіксує, те й визначає гілку. Відсутність будь-якої спроби вказує на адресацію, транспорт або шлях до служби. Вхідні пакети, що зникають перед звичайним обміном, вказують на вимоги керівного каналу реальної служби. Названа відмова вказує на об'єкт, який вона називає. Відповіді, що залишають сервер, але ніколи не доходять до клієнта, вказують на зворотний шлях.

Порожній журнал застосунку — слабший доказ, ніж здається. Журналювання починається в певній точці обміну, і пакети, відкинуті до цієї точки, не залишають сліду у файлі, який ви читаєте. Там, де це дозволено, оператор може використовувати спостереження служби й мережі, щоб побачити, чи взагалі щось надійшло.

Тримайте чотири наслідки окремо у своїх нотатках. Спокуса — злити їх у «сервер не відповідає», і саме ця фраза відправляє людей міняти шифри, коли справжня проблема — правило брандмауера. Нотатка, у якій записано лише слово тайм-аут, викинула розрізнення, за яке ви щойно заплатили.

Виправте етап, який називає доказ

Завершене TCP-з'єднання доводить лише те, що щось прийняло сокет. Воно не доводить, що слухач — це налаштована вами служба OpenVPN, а веб-сервер на тому самому імені хоста ідеально відповідає браузеру, залишаючись несуттєвим для тунелю.

Якщо сервер повідомляє про прострочений список відкликання, це значно конкретніший факт, ніж підсумковий тайм-аут клієнта, і виправлення належить центру сертифікації, а не мережі. Якщо два кінці не погоджуються щодо захисту керівного каналу або спільного матеріалу, скидання пароля нічого не змінює, бо відкидання відбувається раніше за перевірку будь-яких облікових даних.

Змініть одну річ, яку доказ справді підтримує, потім повторіть той самий профіль проти тієї самої кінцевої точки. Збережіть першу нову подію, якщо з'єднання пройде далі, бо ця подія — наступний етап розслідування, а не нова проблема.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Що насправді змінює подовження вікна

Шістдесят секунд — це вікно рукостискання клієнта, і довідка клієнта спільноти документує параметр, який його налаштовує. Його збільшення змушує клієнта чекати довше, перш ніж здатися. Воно не змушує відсутню службу з'явитися і не робить відхилений пакет прийнятним.

Довше вікно має законне застосування на повільному каналі або сильно завантаженому сервері, і його варто спробувати, коли у вас є докази, що обмін просувається повільно, а не що він зовсім не відбувається. Спроба з нього лише відкладає той самий діагноз ще на хвилину й робить часову шкалу важчою для читання. Якщо часова шкала показує обмін, який просувається, а потім застрягає, вікно — це симптом навантаження, а не доступності.