Der Verbindungsaufbau bricht ab, weil der Server den externen PSK nicht bestätigt

Der TLS-Adapter bricht den Handshake zu einer Gegenstelle ab und schreibt einen Protokolleintrag; eine Verbindung ohne das zusätzliche Geheimnis kommt nicht zustande.

Beziehungsverbindungen in TLS 1.3 mit externem PSK nach RFC 9973; der TLS-Adapter ist Client.

Der Client sendet die Erweiterung tls_cert_with_extern_psk im ClientHello. Der Server bestätigt sie im ServerHello nur, wenn er den angebotenen externen PSK annimmt. Fehlt die Bestätigung, bricht der TLS-Adapter die Verbindung ab, statt still auf TLS ohne PSK zurückzufallen. Typische Gründe: Die Gegenstelle ist kein TLS-Adapter einer Beziehung, sie kennt das Geheimnis nicht, oder sie unterstützt die Erweiterung nicht.

1. Prüfen Sie, ob die Adresse auf den TLS-Adapter der Gegenseite zeigt und nicht auf einen anderen Dienst desselben Rechners.
2. Prüfen Sie in der Überwachung das Alter des jüngsten Geheimnisses für dieses Agentenpaar; ohne gemeinsames Geheimnis kann der Server den PSK nicht annehmen.
3. Erlaubt Ihre Beziehungsrichtlinie ausdrücklich einen Rückfall auf TLS ohne PSK, entsteht die Verbindung ohne zusätzliches Geheimnis, und jeder solche Aufbau wird protokolliert. Ohne diese Erlaubnis gibt es keinen Rückfall.

Der Handshake enthält die Bestätigung von tls_cert_with_extern_psk im ServerHello, und das Protokoll des TLS-Adapters zeigt keinen weiteren Abbruch für diese Beziehung.

• PQ-Schlüsselaustausch für TLS – Regeln aus RFC 9973
• Zu einem Partner entstehen keine neuen Verbindungen