VPN-handdrukstappe: wat gebeur voordat verkeer vloei

Om Op Verbind te druk begin vier afsonderlike take wat onafhanklik slaag of misluk. Die kliënt moet 'n luisteraar bereik, ooreenkom wie die eweknie is, sleutels aflei en dan 'n werkende tonnel aan die res van die stelsel oorhandig. Die meeste mislukte verbindings word in die verkeerde taak gediagnoseer. Daarom is die eerste fout belangriker as die derde herhaling.

Bereik eers die luisteraar

Voordat enige identiteit uitgeruil word, los die kliënt 'n naam op, kies 'n roete en open 'n vervoer na 'n poort. 'n Kaptiewe portaal wat alles beantwoord, 'n geslote poort en 'n verkeerde gasheernaam misluk almal hier, en nie een daarvan is 'n verifikasieprobleem nie. Om 'n wagwoord te verander kan nie een van die drie regmaak nie. Lees die eerste reël van die fout voordat jy aan geloofsbriewe raak.

'n Tydverstreke, 'n sertifikaatverwerping en 'n verworpe rekening is drie verskillende foute met drie verskillende kontroles. Om hulle eerste te sorteer keer dat 'n netwerkprobleem as 'n geloofsbriefprobleem ontfout word.

Bewys die eweknie, lei dan sleutels af

Elke protokol het 'n manier nodig om die bedoelde bediener te herken, hetsy deur 'n gekonfigureerde publieke sleutel of 'n sertifikaatketting. 'n Gebruikeraanmelding is bykomend tot daardie kontrole, nie 'n plaasvervanger daarvoor nie. 'n Bediener wat jou wagwoord aanvaar, het niks oor sy eie identiteit bewys nie. Daarom is 'n gedeelde geheim wat in 'n kliënt ingetik word nie 'n plaasvervanger vir die verifiëring van wat geantwoord het nie.

Die uitruiling lei dan verkeersleutels af uit die protokol se eie insette, en die aanmeldwagwoord is gewoonlik nie die sleutel wat op elke pakkie gestempel word nie. Langtermyn-identiteitsmateriaal en kortstondige sessiesleutels het verskillende lewensduur en verskillende take. Daardie skeiding is waaroor voorwaartse geheimhouding gaan.

Hou verifiëring aan terwyl jy probleme oplos, want 'n tonnel wat verbind nadat jy 'n kontrole afgeskakel het, het niks anders bewys as dat die kontrole iets gedoen het nie. Merk op wat jy verander het, en sit dit terug voor die volgende toets.

Drie protokolle, drie gesprekke

In 'n TLS-gebaseerde OpenVPN-ontplooiing onderhandel die beheerkanaal oor sekuriteitsparameters terwyl die datakanaal tonnelverkeer dra, so 'n datakanaal-opsie en 'n sertifikaatprobleem woon op verskillende plekke. IKEv2 verifieer beide deelnemers en vestig dan IPsec-sekuriteitsassosiasies met hul eie lewensduur. WireGuard lei sleutels af deur sy Noise-gebaseerde uitruiling en hou die toestandsmasjien doelbewus klein. Om te weet watter van die drie jy bedryf, bepaal watter logboek werd is om te lees.

Eenderslykende kliënte beteken nie dat die boodskappe onderling uitruilbaar is nie, en 'n konfigurasieveld wat in een produk bestaan, het dalk geen eweknie in 'n ander nie. Om 'n profiel tussen hulle te kopieer is 'n raaiskoot eerder as 'n migrasie.

Wat die handdruk nie doen nie

Roetes, naamresolusie en bestemmingsbeleid bly alles daarna oor. 'n Interne werf kan onbereikbaar bly omdat sy subnetroete ontbreek, selfs al is die eweknie korrek geverifieer en is die tonnel op. Om dit as swak versleuteling te behandel, stuur jou na die verkeerde laag, en dit eindig gewoonlik met 'n syferverandering wat niks regmaak nie.

Sleutelvernuwing en heraansluiting lyk ook eenders in die meeste statusvertonings, en nie een vertel jou of gewone verkeer tydens die onderbreking geblokkeer is nie. Net die kliënt se foutbeleid antwoord daardie vraag, so lees die beleid eerder as die ikoon.

Werk die stadiums in die volgorde hierbo en stop by die eerste een wat 'n fout lewer. Elke latere stadium erf die toestand van die vroeëres, so 'n fout by die derde stadium sê niks oor die vierde nie.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal