Oltmish soniyalik TLS muddati: qaysi tomon aslida to'xtadi?

Mijoz oltmish soniyadan so'ng kalit muzokaralari haqidagi xabar bilan taslim bo'ladi, noutbuk esa nima uchunligi haqida hech qanday fikr bildirmaydi. Bu gap mijozning sabrini tasvirlaydi, serverning xatti-harakatini emas. Buni uch butunlay boshqacha holat keltirib chiqaradi: paket hech qachon to'g'ri xizmatga yetib bormagan, xizmat uni biror narsa yozishdan oldin tashlab yuborgan yoki xizmat uni rad etib, mijoz ko'ra olmaydigan joyda aytgan. Aynan bitta urinishni ikki uchda solishtirish ularni ajratadi.

Bitta urinishga qidirish mumkin bo'lgan shaxsiyat bering

Boshlanish vaqtini vaqt mintaqasi bilan, profil nomini, mijoz haqiqatda hal qilgan manzilni, portni va ulanish UDP yoki TCP ekanini yozib qo'ying. Agar profilda bir nechta masofaviy yozuv bo'lsa, o'sha urinish qaysinisini tanlaganini qayd eting, chunki qayta urinish siz o'qiyotgan faylni o'zgartirmasdan keyingi yozuvga o'tgan bo'lishi mumkin.

Yakuniy nuqtani siz eslab qolgan yuklab olishdan emas, faol jurnaldan oling. Xususiy manzilga ishora qiluvchi profil to'liq haqiqiy va u yerga marshrutlay olmaydigan tarmoqdan to'liq foydalanib bo'lmaydigan bo'ladi, va bu holat o'chirilgan serverga aynan o'xshaydi.

So'ngra operatordan mo'ljallangan nusxada xuddi shu oynani so'rang. Vaqt farqi shunchalik keng tarqalganki, bir necha daqiqalik siljish mos keladigan hodisani yo'qdek ko'rsatishi mumkin, shuning uchun hech qanday hodisa bo'lmagan deb xulosa qilish o'rniga siljishni yozib qo'ying.

To'rt kuzatuv, to'rt xil keyingi qadam

Server nima yozishi shoxobchani belgilaydi. Har qanday urinishning yo'qligi manzillash, uzatish yoki xizmatga boradigan yo'lga ishora qiladi. Oddiy almashinuvdan oldin yo'qoladigan kiruvchi paketlar haqiqiy xizmatning boshqaruv kanali talablariga ishora qiladi. Nomlangan rad etish u nom bergan obyektga ishora qiladi. Serverni tark etib, mijozga hech qachon yetib bormaydigan javoblar qaytish yo'liga ishora qiladi.

Bo'sh ilova jurnali ko'rinadiganidan zaifroq dalil. Jurnal yozish almashinuvning ma'lum bir nuqtasidan boshlanadi va o'sha nuqtadan oldin tashlangan paketlar siz o'qiyotgan faylda hech qanday iz qoldirmaydi. Ruxsat berilgan joylarda operator xizmat va tarmoq kuzatuvlari orqali biror narsa yetib kelganmi-yo'qmi ko'rishi mumkin.

Yozuvlaringizda to'rt natijani alohida saqlang. Vasvasa ularni «server javob bermayapti» deb birlashtirishdir va haqiqiy muammo tarmoq devori qoidasi bo'lganda odamlarni shifrlash usulini o'zgartirishga yuboradigan aynan shu gap. Faqat muddat so'zini yozib qo'yadigan yozuv hozir to'lagan farqingizni tashlab yuborgan.

Dalil nomlagan bosqichni tuzating

Tugallangan TCP ulanish faqat biror narsa soketni qabul qilganini isbotlaydi. U tinglovchi siz sozlagan OpenVPN xizmati ekanini isbotlamaydi, va o'sha xost nomidagi veb-server brauzerga mukammal javob beradi, ammo tunnel uchun ahamiyatsiz.

Agar server muddati o'tgan bekor qilish ro'yxatini bildirsa, bu mijozning yakuniy muddatidan ancha aniq fakt va tuzatish tarmoqqa emas, sertifikat organiga tegishli. Ikki uch boshqaruv kanali himoyasi yoki umumiy material bo'yicha kelishmasa, parolni tiklash hech narsani o'zgartirmaydi, chunki tashlab yuborish har qanday ishonchnoma tekshirilishidan oldin sodir bo'ladi.

Dalil haqiqatan qo'llab-quvvatlaydigan bitta narsani o'zgartiring, so'ngra o'sha profilni o'sha yakuniy nuqtaga qarshi takrorlang. Ulanish uzoqroqqa ketsa, birinchi yangi hodisani saqlab qoling, chunki bu hodisa yangi muammo emas, tekshiruvning keyingi bosqichi.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Oynani uzaytirish aslida nimani o'zgartiradi

Oltmish soniya mijozning handshake oynasi va jamiyat mijoz ma'lumotnomasi uni sozlaydigan parametrni hujjatlashtiradi. Uni oshirish mijozni taslim bo'lishdan oldin uzoqroq kutishga majbur qiladi. U yo'q xizmatni paydo qilmaydi va rad etilgan paketni qabul qilinadigan qilmaydi.

Sekin aloqada yoki og'ir yuklangan serverda uzoqroq oynaning qonuniy qo'llanilishi bor va almashinuv umuman bo'lmayotgani emas, sekin ilgarilayotgani haqida dalilingiz bo'lsa, uni sinab ko'rishga arziydi. Avval sinab ko'rish xuddi shu tashxisni yana bir daqiqaga kechiktiradi va vaqt chizig'ini o'qishni qiyinlashtiradi. Vaqt chizig'i ilgarilab keyin to'xtagan almashinuvni ko'rsatsa, oyna yukning alomati, yetib borishning emas.