VPN-beheerkanaal teenoor datakanaal: toets die regte vlak

Die kliënt sê hy is verbind, die bediener sien ’n eweknie, en die toepassing bereik steeds niks. Op daardie punt is die nuttige vraag nie watter syfer om te verander nie, maar watter kanaal gefaal het. OpenVPN noem twee funksies uitdruklik: ’n beheerkanaal wat die sessie onderhandel en bestuur, en ’n datakanaal wat die beskermde verkeer dra. IKEv2 druk ’n verwante verdeling uit deur die IKE-vereniging en die CHILD-vereniging. Werk die kontroles hieronder in volgorde af, want ’n regstelling van die datapad wat op ’n fout in die beheerpad toegepas word, mors ’n veranderingsvenster.

Noem die kanaal voordat jy dit ontfout

Die beheerkant onderhandel sekuriteitsmateriaal, verifieer eweknieë en bestuur die verbinding. Die datakant dra die gekose verkeer sodra die nodige toestand bestaan.

Hulle faal anders. ’n Beheerfout laat jou gewoonlik heeltemal sonder ’n bruikbare sessie, of met ’n sessie wat in ’n lus heronderhandel. ’n Datafout laat ’n sessie wat gesond lyk terwyl pakkette laat val, verkeerd geroteer of met parameters beskerm word wat die ander kant nie sal aanvaar nie. Die logreël wat jy lees, sê in watter een jy is, so lees die etiket voor die fouteks.

Kontroleer die beheeruitruiling

Bevestig dat die handdruk voltooi en dat beide kante dit eens is oor die vervoer, die TLS-weergawe en die verifikasiemetode. OpenVPN-logs druk aparte reëls vir die beheerkanaal en die datakanaal, en die beheerlyn is waar ’n sertifikaat-, TLS-weergawe- of tls-crypt-wanpassing opduik.

As die beheeruitruiling faal, kyk na die bereikbare poort, die sertifikaatketting en sy geldigheidsdatums, die stelselklok, die syferoorvleueling tussen kliënt en bediener, en enige tls-auth- of tls-crypt-sleutel. ’n Groot sertifikaatketting kan ook op die pad-MTU faal voordat enige verifikasie voltooi, wat soos ’n tydverloop lyk eerder as ’n kriptografiese fout.

Herstel beheerfoute met beheerinstellings. Om die datasifering te verhoog of die dataverifikasiestrategie te verslap, sal nie ’n handdruk voltooi wat nooit verby die sertifikaatuitruiling gekom het nie.

Kontroleer die datakanaal afsonderlik

Sodra die sessie op is, bevestig die onderhandelde datasifering en -modus, die sleutelafleiding en die herleutelgedrag. Vir OpenVPN noem die datakanaalreël die syfer en sleutelgrootte wat werklik geïnisialiseer is, wat kan verskil van die eerste syfer in die profiel.

Kyk dan wat die sessie geïnstalleer het. ’n PUSH_REPLY kan roetes, ’n DNS-bediener en ’n redirect-gateway-opdrag byvoeg, en enige daarvan kan verkeer stuur waar die toepassing dit nie kan gebruik nie. Vir IKEv2 is die ekwivalente vraag of die CHILD-vereniging se keurders pas by die adresse in die werklike vloei.

tls-auth en tls-crypt hoort by die beheerkanaal. Hulle verifieer of versleutel die handdruk, en hulle kies nie die toepassing se datasifering nie. As jy een van hulle byvoeg en ’n verandering aan die datapad verwag, is die enigste ding wat jy verander het, die handdruk.

Karteer die name na IKEv2 en OpenVPN

IKEv2 het ’n IKE-sekuriteitsvereniging en een of meer CHILD-verenigings. Die IKE-vereniging dra die beheeruitruilings; die CHILD-vereniging dra die beskermde verkeer en sy keurders. Hulle word op aparte skedules onderhandel en herleutel, so een kan gesond wees terwyl die ander nie is nie.

ESP het nie ’n TLS-agtige beheerkanaal binne-in hom nie. Die beheerprotokol is IKE, en ESP is die beskermde vrag. Om ESP die datakanaal te noem, is ’n losse kortskrif wat verwarrend word wanneer jy ’n pakketopname lees, want die opname wys IKE-boodskappe en ESP-pakkette as verskillende protokolle op die draad.

Hou die kartering duidelik in jou notas: OpenVPN-beheerkanaal en IKE SA is die bestuurskant, OpenVPN-datakanaal en CHILD SA is die verkeerskant, en die implementerings is nie uitruilbaar nie, selfs wanneer die verdeling dieselfde lyk.

Hou op om die verkeerde instelling te verander

Stap die pad in een rigting: beheeruitruiling, databeskerming, aanstuur, dan naamresolusie. Stop by die eerste fase wat faal en herstel net daardie fase. ’n Verbinde sessie met ’n werkende ping na die poort en geen toepassingsverkeer nie, is ’n aanstuur- of keurderprobleem, nie ’n handdrukprobleem nie.

Skryf die bewyse vir elke fase afsonderlik in die kaartjie: die beheerlogreël, die onderhandelde dataparameters, die geïnstalleerde roetes en een werklike versoek. Daardie struktuur keer dat ’n werkende identiteitskontrole verswak word om ’n latere roeteprobleem te herstel wat dit nooit veroorsaak het nie, en dit keer dat ’n datasiferingsverandering verkoop word as ’n oplossing vir ’n sertifikaatfout.

Die OpenVPN-protokol-dokumentasie is die verwysing vir die beheer- en dataskinding; gebruik dit wanneer ’n verskaffer se koppelvlak ander woorde vir dieselfde twee funksies gebruik.