为什么TLS握手失败？

我的OpenVPN客户端（Windows 10）位于公司局域网中，并连接到Internet上的服务器（Ubuntu）。 该设置曾经工作，但在一段时间之前停止（请参阅下面的小型基础设施更改，服务器或客户端的configuration没有更改）。

在下面的日志中

• OpenVPN服务器地址是SERVERIP
• 当离开企业局域网时，源地址是CORPORATEIP （它是从客户端的内部IP进行的）

当试图从客户端连接时，我得到以下日志：

 Sun May 29 10:55:07 2016 OpenVPN 2.3.11 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on May 10 2016 Sun May 29 10:55:07 2016 Windows version 6.2 (Windows 8 or greater) 64bit Sun May 29 10:55:07 2016 library versions: OpenSSL 1.0.1t 3 May 2016, LZO 2.09 Sun May 29 10:55:07 2016 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340 Sun May 29 10:55:07 2016 Need hold release from management interface, waiting... Sun May 29 10:55:08 2016 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340 Sun May 29 10:55:08 2016 MANAGEMENT: CMD 'state on' Sun May 29 10:55:08 2016 MANAGEMENT: CMD 'log all on' Sun May 29 10:55:08 2016 MANAGEMENT: CMD 'hold off' Sun May 29 10:55:08 2016 MANAGEMENT: CMD 'hold release' Sun May 29 10:55:08 2016 MANAGEMENT: CMD 'proxy NONE ' Sun May 29 10:55:09 2016 Socket Buffers: R=[65536->65536] S=[65536->65536] Sun May 29 10:55:09 2016 MANAGEMENT: >STATE:1464512109,RESOLVE,,, Sun May 29 10:55:09 2016 UDPv4 link local: [undef] Sun May 29 10:55:09 2016 UDPv4 link remote: [AF_INET]SERVERIP:1194 Sun May 29 10:55:09 2016 MANAGEMENT: >STATE:1464512109,WAIT,,, 

在服务器端这对应于

• 基于客户端证书名称（OpenVPN）添加filter
• 同一个NAT（PSK或EAP）后面的两个用户 – strongswan
• 访问VPN以外的服务，同时隧道OpenVPN访问服务器
• OpenVPN | 如何使服务器通过OpenVPN网关与局域网中的另一台服务器进行通信？
• 使用租用的VPS作为朋友的Openvpn服务器：法律风险以及如何避免这些风险？

 May 29 10:55:09 srv ovpn-server[732]: CORPORATEIP:15057 TLS: Initial packet from [AF_INET]CORPORATEIP:15057, sid=38d5a524 b40f69aa May 29 10:56:09 srv ovpn-server[732]: CORPORATEIP:15057 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity) May 29 10:56:09 srv ovpn-server[732]: CORPORATEIP:15057 TLS Error: TLS handshake failed May 29 10:56:09 srv ovpn-server[732]: CORPORATEIP:15057 SIGUSR1[soft,tls-error] received, client-instance restarting May 29 10:56:12 srv ovpn-server[732]: CORPORATEIP:15082 TLS: Initial packet from [AF_INET]CORPORATEIP:15082, sid=36d1f0e9 9cdc88ec 

因此，客户端到达服务器，尝试连接，然后TLS Error: TLS key negotiation failed to occur within 60 seconds发生TLS Error: TLS key negotiation failed to occur within 60 seconds 。

OpenVPN常见问题解答提到这个错误，并build议stream量可能被防火墙（在服务器上或在客户端）。 客户端到达服务器的情况并非如此（所以udp/1154stream量在防火墙上是打开的）。

以前的设置工作，我能想到的唯一的变化是服务器端的变化：它曾经是在一个局域网，与udp/1154转发给它，现在在一个DMZ（它pipe理DNAT本身通过iptables / shorewall，如果需要的话）。 由于客户端的数据包到达服务器，我不认为这是原因。

在进一步挖掘之前，我想抛开防火墙问题：

• 我从上面的理解是，客户端 – >服务器连接工作。
• 从OpenVPN服务器到世界的stream量是开放的（我可以ping CORPORATEIP ，例如UDP和TCP也是开放的）

我的上面关于防火墙的假设不是正确的问题吗？

（因为我想确保返回path不受阻碍，所以我在服务器上放置了一个小的HTTP服务器，并从公司LAN连接到它，连接通过（相同的path））

 # server configuration port 1194 proto udp dev tun0 ca /etc/openvpn/ca.crt cert /etc/openvpn/server.crt dh /etc/openvpn/dh2048.pem server 10.10.13.0 255.255.255.0 ifconfig-pool-persist ipp.txt push "redirect-gateway def1 bypass-dhcp" push "dhcp-option DNS 208.67.222.222" push "dhcp-option DNS 208.67.220.220" duplicate-cn keepalive 10 120 comp-lzo user nobody group nogroup persist-key persist-tun status openvpn-status.log verb 3 

 # client configuration route-nopull route 10.10.10.0 255.255.255.0 route 10.10.11.0 255.255.255.0 route 10.10.12.0 255.255.255.0 client dev tun proto udp remote SERVER_IP 1194 resolv-retry infinite nobind persist-key persist-tun remote-cert-tls server comp-lzo verb 3 <ca> -----BEGIN CERTIFICATE----- MIIEgDCCA2igAwIBAgIJ... (...) b4yiCAmaA8p5JRYqYBiT... p20oZw== -----END CERTIFICATE----- </ca> <cert> Certificate: (...) 8f:d4:9d:d0 -----BEGIN CERTIFICATE----- MIIE3DCCA8SgAwIBAgIBA... (...) eGOJMoV4vXQ31DZmEl33l... -----END CERTIFICATE----- </cert> <key> -----BEGIN PRIVATE KEY----- MIIEvwIBADANBgkqhkiG9... (...) APOSuHJ4aXJocgOK3jGoK... -----END PRIVATE KEY----- </key>