Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Где взять тестовые сборки
Официальное хранилище ПО в виде файлов
  • 0

Сбой времени, проблема с NTP и сертификатами DoT/DoH

Alex M

Ответ от Alex M,

 Поделиться

Вопрос

Alex M Новичок

Alex M

Опубликовано
Опубликовано

Здравствуйте! Имеется роутер Keenetic Speedster, который, как правило, выключаем на ночь.
На роутере настроены DoT/DoH. Сейчас это Google, но проблема проявлялась и с Cloudflare.

Иногда при включении роутера утром он не может подключиться к интернету. При заходе в админку в системном журнале вижу повторяющиеся ошибки: 

Sep 28 16:32:37 https-dns-proxy
TLS certificate verify error: Error
Sep 28 16:32:39 https-dns-proxy
Core::Syslog: last message repeated 7 times.

То есть проблема следующая: по какой-то причине сбилось время – не может подключиться к интернету, так как DoT/DoH не валидирует сертификаты из-за сбившегося времени на устройстве. Лезет обновлять время – не получается, поскольку нет доступа к интернету из-за предыдущей ошибки, и не удается, видимо, резолвить 0.pool.ntp.org и прочие. И так по кругу.

Помогает только вручную выставлять время в админке. После чего роутер подключается успешно.
Хотелось бы понять, почему может периодически сбиваться время на устройстве?

Также есть предложение. Может быть в одном из следующих обновлений прошивки разработчики подумают, как решить эту проблему? Например, вносить адреса серверов NTP, указанные в настройках, в список исключений модуля DoT/DoH?

Или же есть какой-то способ избежать подобного сценария путем изменения существующих настроек?
Варианты отключить DoT/DoH совсем или прописывать какие-то конкретные IP-адреса серверов NTP вряд ли будут правильным решением.

Заранее благодарю за любые отклики и мысли.

  • Лайк 2

20 ответов на этот вопрос

Рекомендуемые сообщения

  • 0
vasek00 Старожил

vasek00

Опубликовано
Опубликовано
  В 28.10.2021 в 07:34, Alex M сказал:

Имеется роутер Keenetic Speedster, который, как правило, выключаем на ночь.
На роутере настроены DoT/DoH. Сейчас это Google, но проблема проявлялась и с Cloudflare.

Иногда при включении роутера утром он не может подключиться к интернету. При заходе в админку в системном журнале вижу повторяющиеся ошибки:

Показать  

Хорошо бы увидеть лог или что то из него.

Ниже Viva которая на draft обновление, т.е. бывают моменты после обновления она пере запускается, т.е. как у вас только не после выключения, так же настроены Dot/Doh. Проанализируйте свой лог на предмет того что ниже связанное с синхронизацией времени и https-dns-proxy.

  Показать контент

 

  • 0
Alex M Новичок

Alex M

Опубликовано
  • Автор
Опубликовано 
Sep 28 16:31:31 https-dns-proxy
TLS certificate verify error: Error
Sep 28 16:31:36 https-dns-proxy
Core::Syslog: last message repeated 17 times.
Sep 28 16:31:36 ndm
Ntp::Client: unable to communicate with "0.pool.ntp.org".
Sep 28 16:31:36 ndm
Ntp::Client: could not synchronize, waiting...
Sep 28 16:31:36 https-dns-proxy
TLS certificate verify error: Error
Sep 28 16:32:00 https-dns-proxy
Core::Syslog: last message repeated 23 times.
Sep 28 16:32:04 ndm
Core::Ndss: [513] cannot connect to the server.
Sep 28 16:32:10 https-dns-proxy
TLS certificate verify error: Error
Sep 28 16:32:35 https-dns-proxy
Core::Syslog: last message repeated 46 times.

Я уже проанализировал свой лог. Вывод такой: при сбившемся времени на роутере сертификаты DoT/DoH проверить не возможно, поскольку время не корректное. Роутер не может обратиться к серверам NTP, поскольку для их разрешения необходимо установить подключение DoT/DoH. Которое также установить не возможно.

Это замкнутый круг, ошибка, на которую следует обратить внимание разработчикам.

У меня все тот же вопрос к представителям Keenetic: по какой причине может сбиваться время на роутере? Там какая-то батарейка находится, которая уже села за несколько месяцев использования?

  • Лайк 2
  • 0
Владимир Зуйков Пользователь

Владимир Зуйков

Опубликовано
Опубликовано
  В 28.10.2021 в 09:18, Alex M сказал:

Там какая-то батарейка находится, которая уже села за несколько месяцев использования?

Показать  

Там нет ни какой батарейки, время синхронизируется NTP.

  • 0
Alex M Новичок

Alex M

Опубликовано
  • Автор
Опубликовано
  В 28.10.2021 в 09:26, Владимир Зуйков сказал:

Там нет ни какой батарейки, время синхронизируется NTP.

Показать  

Суть в том, что при сбившемся времени, оно увы уже не синхронизируется, при включенном DoT/DoH. По причинам, описанным мной выше.

  • 0
TheBB Старожил

TheBB

Опубликовано
Опубликовано
  В 28.10.2021 в 09:18, Alex M сказал:

У меня все тот же вопрос к представителям Keenetic: по какой причине может сбиваться время на роутере?

Показать  

ответ:

  В 28.10.2021 в 07:34, Alex M сказал:

выключаем на ночь.

Показать  

см., напр., https://ru.wikipedia.org/wiki/Unix-время

  В 28.10.2021 в 07:34, Alex M сказал:

прописывать какие-то конкретные IP-адреса серверов NTP вряд ли будут правильным решением.

Показать  

почему?

  • 0
Alex M Новичок

Alex M

Опубликовано
  • Автор
Опубликовано
  В 28.10.2021 в 11:10, TheBB сказал:

почему?

Показать  

Наверное по той же причине, по которой, например, разработчики Keenetic не делают этого и по умолчанию прописывают именно пулы, а не какие-то IP?

Это ведь пул уже должен выбрать конкретный, доступный в настоящее время сервер из своего списка по нашему запросу.

А если мы укажем какие-то конкретные IP-адреса, и они перестанут отвечать или работать, то время мы опять не узнаем. Придется искать новые, менять.

И что мы получим? Ту же проблему, описанную выше.

Единственным решением сейчас видится не выключать роутер вообще.

  • 0
Alex M Новичок

Alex M

Опубликовано
  • Автор
Опубликовано

Добавил следующие IP-адреса в настройки NTP: 

ntp.msk-ix.ru
194.190.168.1

time.apple.com
17.253.122.125

time.google.com
216.239.35.0

time.cloudflare.com
162.159.200.123

Буду наблюдать. Благодарю всех откликнувшихся!

  • 0
vadimbn Старожил

vadimbn

Опубликовано
Опубликовано
  В 28.10.2021 в 07:34, Alex M сказал:

Имеется роутер Keenetic Speedster, который, как правило, выключаем на ночь.

Показать  

Зачем вообще выключать? Оно спроектировано работать в режиме 24/7. И большинство оборудования ломается именно во время включения/выключения, из-за переходных процессов.

  • 0
avn Старожил

avn

Опубликовано
Опубликовано

 

  В 28.10.2021 в 07:34, Alex M сказал:

Здравствуйте! Имеется роутер Keenetic Speedster, который, как правило, выключаем на ночь.
На роутере настроены DoT/DoH. Сейчас это Google, но проблема проявлялась и с Cloudflare.

Иногда при включении роутера утром он не может подключиться к интернету. При заходе в админку в системном журнале вижу повторяющиеся ошибки: 

Sep 28 16:32:37 https-dns-proxy
TLS certificate verify error: Error
Sep 28 16:32:39 https-dns-proxy
Core::Syslog: last message repeated 7 times.

 

Показать  

Все аналогично произошло вчера вечером. После перезагрузки роутера время слетело на полгода назад и DNS-Over-* умер, т.к. не может установить TLS соединение. Время по NTP синхронизировать не может, т.к. не работает DNS. Что делать в таких случаях, непонятно.

Настройки DNS такие: 

dns-proxy
    rebind-protect auto
    tls upstream 1.1.1.1 853 sni cloudflare-dns.com
    tls upstream 8.8.8.8 853 sni dns.google
    https upstream https://1.0.0.1/dns-query dnsm
    https upstream https://8.8.4.4/dns-query dnsm
!

Ошибки такие: 

https-dns-proxy
TLS certificate verify error: Error
Мар 13 01:54:14 https-dns-proxy
Core::Syslog: last message repeated 30 times.

 

  • Лайк 1
  • 0
avn Старожил

avn

Опубликовано
Опубликовано

На entware я использую такое решение: 

date -u -D '%a, %d %b %Y %H:%M:%S' -s "$(curl --insecure --silent --max-time 5 --head 'https://1.1.1.1/' 2>/dev/null | grep -i ^Date: | cut -d' ' -f2-)"
if [ "$?" != "0" ]; then
	date -u -D '%a, %d %b %Y %H:%M:%S' -s "$(curl --insecure --silent --max-time 5 --head 'https://9.9.9.9/' 2>/dev/null | grep -i ^Date: | cut -d' ' -f2-)"
fi;

Непонятно, что делать если нет entware.

  • Лайк 1
  • 0
vadimbn Старожил

vadimbn

Опубликовано
Опубликовано
  В 29.10.2021 в 05:56, Sfut сказал:

Про это где то было официально заявлено?

Показать  

Для такого оборудования это подразумевается. Его часто ставят вообще в труднодоступных местах. Ну и... Где на нём выключатель?

  • 0
avn Старожил

avn

Опубликовано
Опубликовано
  В 29.10.2021 в 07:05, vadimbn сказал:

Для такого оборудования это подразумевается. Его часто ставят вообще в труднодоступных местах. Ну и... Где на нём выключатель?

Показать  

Необязательно выключать, достаточно перезагрузить. Видно какой-то ntp неверное время отдал.

  • 0
Alex M Новичок

Alex M

Опубликовано
  • Автор
Опубликовано

Очевидно, что данная проблема требует внесения изменений в одном из следующих обновлений прошивки.

Это явный баг, поскольку в настоящее время такая исключительная ситуация, как сбившееся время на роутере с включенным DoT/DoH просто не отрабатывается корректно. Предполагаю, что баг затрагивает абсолютно всю линейку устройств Keenetic.

Мое предложение разработчикам (репорт уже в тех.поддержке): резолвить NTP-сервера, указанные в настройках, в обход DoT/DoH.

На этом вопрос будет решен.

  • 0
vasek00 Старожил

vasek00

Опубликовано
Опубликовано (изменено)
  В 29.10.2021 в 06:59, avn сказал:

 что делать если нет entware.

Показать  

Версия 3.7 Beta 4:

NTP: исправлена валидация ответов от NTP-серверов при определенных условиях [NDM-1880]

 

Но у меня скорей всего тогда нормальные условия были так как все как всегда и ОК что ранее до 37B4 что сейчас

  Показать контент

Другой роутер Speedster на PPTP с провайдером и так же на Doh, и опять проблем нет

  Показать контент

 

 

Изменено пользователем vasek00
  • Лайк 1
  • 0
Alex M Новичок

Alex M

Опубликовано
  • Автор
Опубликовано (изменено)
  В 29.10.2021 в 07:46, vasek00 сказал:

NTP: исправлена валидация ответов от NTP-серверов при определенных условиях [NDM-1880]

Показать  

Хорошо, если данный фикс как-то относится к ситуации, описанной мной.

Благодарю вас за подробный лог с комментариями.

У меня в целом тоже всегда, получается, нормальные условия присутствуют, и как я уже упомянул чуть выше, проблема проявляется крайне редко.

С начала лета раз 5 или 6 сбивалось время. Я как раз ушел тогда сначала с провайдерских DNS на просто публичные, а затем на DoT/DoH.

Собственно, до перехода на DoT/DoH время не сбивалось никогда. Вернее, оно, конечно, сбивалось, но роутер успешно синхронизировал его сам без проблем.

Просто замечать стал после перехода на DoT/DoH. Включишь роутер утром, и ни один сайт не открывается ни на одном устройстве в сети. Лезешь в логи, а там DoT/DoH не поднялись из-за сбившегося времени.

Изменено пользователем Alex M
  • 0
vasek00 Старожил

vasek00

Опубликовано
Опубликовано
  В 29.10.2021 в 07:59, Alex M сказал:

Хорошо, если данный фикс как-то относится к ситуации, описанной мной.

Благодарю вас за подробный лог с комментариями.

Показать  

Посмотрите еще раз лог по внимательней или приклейте тут скрытым сообщением для разработчиков.

  • 0
Sfut Старожил

Sfut

Опубликовано
Опубликовано
  В 29.10.2021 в 07:05, vadimbn сказал:

Для такого оборудования это подразумевается. Его часто ставят вообще в труднодоступных местах. Ну и... Где на нём выключатель?

Показать  

Каждый может подразумевать что хочет, но это должно быть заявлено официально. Иначе это просто домыслы. Посмотрите как, из каких комплектующих делается оборудование, предназначенное для работы 24/7. Например, сравните стоечный сервер и ширпотребовский ПК. И кстати насчет выключателя у меня он есть. Хотя это не показатель, на серверах он тоже есть.  

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить на вопрос...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку вопросов

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю