Hết thời gian TLS sáu mươi giây: bên nào thực sự đã dừng?

Máy khách bỏ cuộc sau sáu mươi giây với một thông báo về việc thương lượng khóa, và chiếc máy tính xách tay không đưa ra ý kiến nào về lý do. Câu đó mô tả lòng kiên nhẫn của máy khách, không phải hành vi của máy chủ. Ba tình huống hoàn toàn khác nhau tạo ra nó: gói tin không bao giờ đến đúng dịch vụ, dịch vụ đã loại bỏ nó trước khi ghi nhật ký bất cứ điều gì, hoặc dịch vụ đã từ chối nó và nói điều đó ở nơi máy khách không thể thấy. Chính việc đối chiếu một lần thử ở cả hai đầu là điều phân biệt chúng.

Hãy cấp cho một lần thử một danh tính mà bạn có thể tìm kiếm

Ghi lại thời điểm bắt đầu cùng múi giờ, tên hồ sơ, đích đến mà máy khách thực sự phân giải, cổng, và liệu kết nối là UDP hay TCP. Nếu hồ sơ có nhiều mục từ xa, hãy ghi lại lần thử đó đã chọn mục nào, vì lần thử lại có thể đã chuyển sang mục tiếp theo mà không thay đổi tệp bạn đang đọc.

Lấy điểm cuối từ nhật ký đang hoạt động, không phải từ bản tải xuống mà bạn nhớ. Một hồ sơ trỏ tới địa chỉ riêng là hoàn toàn hợp lệ và hoàn toàn không dùng được từ một mạng không thể định tuyến tới đó, và trường hợp đó trông giống hệt một máy chủ đã tắt.

Sau đó yêu cầu người vận hành cung cấp cùng khung thời gian trên phiên bản dự định. Độ lệch đồng hồ đủ phổ biến để vài phút chênh lệch có thể khiến một sự kiện khớp trông như không tồn tại, nên hãy ghi lại độ lệch thay vì kết luận rằng không có sự kiện nào.

Bốn quan sát, bốn bước tiếp theo khác nhau

Điều máy chủ ghi lại quyết định nhánh. Không có bất kỳ lần thử nào cho thấy vấn đề định địa chỉ, vận chuyển hoặc đường tới dịch vụ. Các gói đến biến mất trước một cuộc trao đổi thông thường cho thấy các yêu cầu của kênh điều khiển của dịch vụ thực. Một sự từ chối có tên chỉ vào đối tượng mà nó gọi tên. Những phản hồi rời máy chủ nhưng không bao giờ tới máy khách cho thấy đường quay về.

Nhật ký ứng dụng trống là bằng chứng yếu hơn vẻ ngoài của nó. Việc ghi nhật ký bắt đầu tại một điểm nhất định của cuộc trao đổi, và các gói bị loại trước điểm đó không để lại dấu vết trong tệp bạn đang đọc. Ở nơi được phép, người vận hành có thể dùng quan sát dịch vụ và mạng để xem liệu có thứ gì đã đến hay chưa.

Giữ bốn kết quả tách biệt trong ghi chú của bạn. Cám dỗ là gộp chúng thành “máy chủ không phản hồi”, và chính cụm từ đó đẩy người ta đi đổi cách mã hóa khi vấn đề thật là một quy tắc tường lửa. Một ghi chú chỉ ghi lại từ hết thời gian đã ném đi sự phân biệt mà bạn vừa trả giá để có.

Sửa giai đoạn mà bằng chứng gọi tên

Một kết nối TCP hoàn tất chỉ chứng minh rằng có thứ gì đó đã chấp nhận một ổ cắm. Nó không chứng minh rằng bên lắng nghe là dịch vụ OpenVPN mà bạn đã cấu hình, và một máy chủ web trên cùng tên máy trả lời trình duyệt hoàn hảo trong khi không liên quan gì tới đường hầm.

Nếu máy chủ báo cáo một danh sách thu hồi đã hết hạn, đó là một sự thật cụ thể hơn nhiều so với thời gian chờ cuối cùng của máy khách, và việc sửa chữa thuộc về cơ quan chứng thực chứ không phải mạng. Nếu hai đầu không đồng ý về việc bảo vệ kênh điều khiển hoặc vật liệu chia sẻ, đặt lại mật khẩu không thay đổi gì, vì việc loại bỏ xảy ra trước khi bất kỳ thông tin xác thực nào được xem xét.

Hãy thay đổi một điều mà bằng chứng thực sự ủng hộ, sau đó lặp lại cùng hồ sơ với cùng điểm cuối. Giữ lại sự kiện mới đầu tiên nếu kết nối đi xa hơn, vì sự kiện đó là giai đoạn tiếp theo của cuộc điều tra, không phải một vấn đề mới.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Việc kéo dài khung thời gian thực sự thay đổi điều gì

Sáu mươi giây là khung bắt tay của máy khách, và tài liệu tham chiếu máy khách của cộng đồng ghi lại tùy chọn điều chỉnh nó. Tăng nó khiến máy khách chờ lâu hơn trước khi bỏ cuộc. Nó không làm một dịch vụ vắng mặt xuất hiện và không làm một gói bị từ chối trở nên chấp nhận được.

Khung thời gian dài hơn có công dụng chính đáng trên một liên kết chậm hoặc một máy chủ quá tải, và đáng để thử khi bạn có bằng chứng rằng cuộc trao đổi đang tiến triển chậm chứ không phải không diễn ra. Thử nó trước chỉ trì hoãn cùng một chẩn đoán thêm một phút và khiến dòng thời gian khó đọc hơn. Nếu dòng thời gian cho thấy một cuộc trao đổi tiến lên rồi dừng lại, thì khung thời gian là triệu chứng của tải chứ không phải của khả năng kết nối.