Ulanish rad etilishi sertifikat muammosi emas: VPN bo'yicha amaliy qo'llanma

Mijoz CRL qayta yaratilgandan so'ng darhol ulanish rad etilganini aytadi, shuning uchun CRL aybdor ko'rinadi. Unday emas. Rad etish transport qatlamining javobi, sertifikat tekshiruvi esa keyinroq, tunnel qo'l siqishi ichida bo'ladi. Vaqtning mos kelishi — kontekst, dalil emas.

Ikki tekshiruv holatlarni bir daqiqadan kam vaqt ichida ajratadi va ularning hech biri ishonch sozlamalariga tegmaydi.

Xatoni uni keltirib chiqargan qatlamda o'qing

connectdan kelgan ECONNREFUSED transport urinishi rad etilganini bildiradi: nimadir reset bilan javob berdi yoki stek yetib bo'lmaydigan port haqida xabar berdi. Sertifikat muammosi bu xatoni keltira olmaydi, chunki transport ulanishisiz TLS qo'l siqishi hech qachon boshlanmaydi. Rad etishni ko'rsangiz, mijoz sertifikat taqdim etishgacha yetmagan. Shu bitta fakt bekor qilishni sabab sifatida istisno qiladi.

Aksinchasi ham to'g'ri. Bekor qilingan sertifikat tugallangan TCP ulanish va muvaffaqiyatsiz qo'l siqish hosil qiladi, bu serverda tekshiruv xatosi sifatida qayd etiladi.

TCP rad etishi: hech kim tinglamayapti

TCP uchun mo'ljallangan nusxa ishlayotganini va profildagi manzil va portga bog'langanini tekshiring. ss -lntp tinglovchilarni ko'rsatadi va ulardan birining yo'qligi odatiy izohdir. Paketlarni tashlash o'rniga rad etadigan xavfsizlik devori mijoz tomonida ham xuddi shu xabarni hosil qiladi, shuning uchun ikkalasini ham tekshirasiz.

Manzil oilasini ham tekshiring. 127.0.0.1 yoki faqat IPv6 ga bog'langan xizmat boshqasiga hal bo'ladigan mijozni rad etadi.

Keyin taxmin qilish o'rniga xizmat jurnalini o'qing. CA xizmatidan keyin qayta ishga tushirish o'qib bo'lmaydigan yoki yo'q faylda muvaffaqiyatsiz bo'lishi va hech qachon tinglash holatiga yetmasligi mumkin, jurnal esa fayl nomini aytadi. Bu ishga tushirish xatosi, rad etilgan sertifikatdan boshqa xato.

UDPda rad etadigan qo'l siqish yo'q

UDP orqali OpenVPN TCP ma'nosida ulanish o'rnatmaydi, shuning uchun connect paytida rad etadigan narsa yo'q. Linuxda UDP soketi ko'rsatgan xato avvalgi datagramma hosil qilgan ICMP port-unreachable dan kelishi mumkin. udp(7) qo'llanma sahifasi shu asinxron xatti-harakatni tasvirlaydi.

Shuning uchun UDP mijozi server jarayoni ishlab turgan, lekin kutilgan manzilga bog'lanmagan holatda rad etishni chop etishi mumkin.

CRL aslida qayerda tekshiriladi

CRL TLS qo'l siqishi paytida, qarshi tomon o'z sertifikatini taqdim etgandan so'ng va faqat server konfiguratsiyasi ruxsat bergan holda so'raladi. OpenVPN ning crl-verify parametri faylga ishora qiladi va muvaffaqiyatsizlik server jurnalida sertifikat nomini ko'rsatuvchi tekshiruv xatosi sifatida ko'rinadi.

Shunday qilib, bekor qilingan mijoz transport qatlamida ulanadi va keyin autentifikatsiyada muvaffaqiyatsiz bo'ladi. Xuddi shu server, xuddi shu port, butunlay boshqa xabar.

O'sha bosqichga yetganingizda CRL ning chiqaruvchisi va amal qilish sanalarini tekshiring. Noto'g'ri CA tomonidan imzolangan CRL yoki mijoz ulanishidan oldin muddati tugagan CRL mijozning o'z sertifikatiga aloqasi bo'lmagan tekshiruv xatolarini keltiradi.

Keyingi safar uchun qisqa qo'llanma

Avval transportni tasdiqlang: tinglovchi bor, manzil oilasi to'g'ri, xavfsizlik devori rad etmayapti. So'ng ishga tushirish jurnalini o'qib xizmat tinglash holatiga yetganini tasdiqlang. Va shundan keyingina tekshiruv xabarlari uchun qo'l siqish xatolarini ko'ring. Bu tartibni qat'iy saqlang, chunki har bir qadam sabablarning butun bir sinfini olib tashlaydi.

Transportni, hal qilingan manzilni, portni va xatoning aniq matnini yozib oling. Mijozni qayta o'rnatish bu dalilni yo'q qiladi va odatda hech narsani o'zgartirmaydi.