Dotaz: Zaplnovani logu openVPN chybou TLS Error: TLS handshake failed

[vpnka]

Ahoj,

mam maly problem s openVPN.. Log se mi docela dost plni touto chybou:

Tue Oct 5 15:29:03 2010 us=161457 jmeno_klienta/79.144.252.105:1158 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Tue Oct 5 15:29:03 2010 us=161481 jmeno_klienta/79.144.252.105:1158 TLS Error: TLS handshake failed
Tue Oct 5 15:29:03 2010 us=671892 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:05 2010 us=684652 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:07 2010 us=739775 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:09 2010 us=817453 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:11 2010 us=865269 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:13 2010 us=930431 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:16 2010 us=37659 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:18 2010 us=60846 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:18 2010 us=401103 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:20 2010 us=136588 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:20 2010 us=652589 NOTE: --mute triggered...
Tue Oct 5 15:29:55 2010 us=971347 jmeno_klienta/79.144.252.105:1168 33 variation(s) on previous 10 message(s) suppressed by --mute
Tue Oct 5 15:29:55 2010 us=971435 jmeno_klienta/79.144.252.105:1168 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Tue Oct 5 15:29:55 2010 us=971460 jmeno_klienta/79.144.252.105:1168 TLS Error: TLS handshake failed
Tue Oct 5 15:29:56 2010 us=63817 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:29:58 2010 us=155600 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:00 2010 us=305412 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:02 2010 us=468506 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:04 2010 us=646163 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:06 2010 us=849823 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:08 2010 us=994445 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:11 2010 us=118116 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:11 2010 us=125926 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:13 2010 us=268531 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:13 2010 us=337852 NOTE: --mute triggered...
Tue Oct 5 15:30:18 2010 us=567917 jmeno_klienta/79.144.252.105:1158 5 variation(s) on previous 10 message(s) suppressed by --mute
Tue Oct 5 15:30:18 2010 us=568003 jmeno_klienta/79.144.252.105:1158 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Tue Oct 5 15:30:18 2010 us=568028 jmeno_klienta/79.144.252.105:1158 TLS Error: TLS handshake failed
Tue Oct 5 15:30:20 2010 us=14323 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Tue Oct 5 15:30:22 2010 us=184292 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
.
.
.
atd. porad dokola

Nema to nijak zavazny vliv na pripojeni uzivatelu - tem to jede, ale bohuzel mi to hrozne plni log a predevsim bych rad vedel cim to je a jak to napravit. Na jednom zahranicnim foru jsem nasel, ze by problem mohl byt v nepovolenem portu 1194 na firewallu, ale to by se klienti nemohli vubec pripojit.

Napada pls nekoho v cem by mohl byt hacek, popr. co zkusit?

Predem diky za napady

Odpovědi

[FF]

Mozna je to blbost, ale nemuze to byt, tak ze se na firewallu u klienta hleda volny port? Viz.

jmeno_klienta/79.144.252.105:1158
jmeno_klienta/79.144.252.105:1168

Tak to mozna zkousi na ruznych portech nez se chyti.

[vpnka]

Klient volny port nehleda, ale diky za postreh.. Nejake jine reseni/napad?

[Jupi]

Zda sa mi, ze pouzivas pre komunikaciu protokol UDP. Skus pouzit radsej TCP, ktory ma v sebe potvrdzovanie komunikacie. UDP byvaju na niektorych routeroch spracovavane s nizsou prioritou a preto sa mozu stratit pri vysokom loade.

[Pavel Chromý]

To naopak myslím není moc dobrý nápad... http://sites.inka.de/bigred/devel/tcp-tcp.html

[vpnka]

Jen jeste jedna dulezita vec pro upresneni, na kterou jsem (ja idiot) zapomnel - tuto chybu to hazi pravidelne u jednoho uzivatele a obcas u jednoho dalsiho - ostatni jsou pripojeni bez problemu..

[Zdenek]

Chyba neni u vas na serveru, ale po ceste nebo u klienta. Jestli uvedeny klient normalne funguje i pres tyto hlasky, pak je problem zcela jiste u klienta, protoze vytvari dalsi nove odchozi spojeni na VPN server.

[vpnka]

Velice dekuji za odpoved - popravde jsem neco podobneho ocekaval, ale cekal jsem, zda se nekdo ozve. Myslel jsem si, ze kdyby byla chyba na serveru, tak by sluzba logovala takove chovani asi u vsech klientu. Ted se ptam - nevite cim konkretne by to mohlo byt zpusobene? Nepredpokladam, ze jsou uzivatele natolik mimo, ze by si zapnuli spojeni pres VPN na vice stanicich najednou ci podobne. Jeste jednou dekuji!

[Heřmi]

nepouziva klient spatnej certifikat, mrknul bych k nemu do konfigurace, pac ti to tam pise ze to nemohlo zpracovat TLS tak bych to videl na cert.

[Zdenek]

Pokud vyloucime vicenasobne pripojovani a problemy u klienta (firewall, antivir, ...) tak zustava jen internet a tam se muze dit cokoliv. At klient zkusi jineho ISP.

[BoBLO]

Dobry den,

komunikacia medzi serverom a klientom pozostava z dvoch faz. V prvej faze klient cez prislusne rozhranie nadviaze spojenie so serverom (Peer Connection Initiated with ...). V druhej faze najprv inicializuje virtualne "VPN" sietove rozhranie, co v logu klienta vidno napr. takto:

Thu May 27 14:19:40 2010 TAP-WIN32 device [Lokálne pripojenie 2] opened: \\.\Global\{4BB1FA80-89B6-4593-9F3F-3F8E42B72D91}.tap
Thu May 27 14:19:40 2010 TAP-Win32 MTU=1500

nasledne - uz cez tunel - nacita zo servera DHCP data, upravi lokalnu smerovaciu tabulku, pripadne nieco dalsie (WINS servery).

Podla uvedeneho logu po prvom kroku vyprsi timeout 60s. Pravdepodobnou pricinou je neschopnost klienta inicializovat TAP-WIN32 kartu (nedostatocne prava). Treba sa pozriet do logu klienta, myslim, ze hned bude vsetko jasne.

[Heřmi]

to ale bude asi log ze serveru ne od klienta

Zaplnovani logu openVPN chybou TLS Error: TLS handshake failed

[Martin]

Sice vím, že je to staré vlákno, ale chci jen doplnit, kdyby někdo hledal jako já, tak se jedná o to (Connection refused (code=111)), že se klient špatně odpojí, resp. nepošle request o odpojení, např. zakáže VPN (TAP) síťový adaptér ve woknech. A ten druhý si jen myslím, že klient nemá shodný tls-auth key (ta.key) se serverem, který způsobuje buď, že má klient špatný soubor nebo klient (např. ten s ikonou zámku v kolečku pro wokna) ho neumí použít.