خطوات مصافحة VPN: ما يحدث قبل أن تتدفق حركة البيانات

الضغط على زر الاتصال يبدأ أربع مهام منفصلة تنجح أو تفشل باستقلال. على العميل أن يصل إلى مستمع، ويتفق على هوية الطرف الآخر، ويشتق المفاتيح، ثم يسلّم نفقًا عاملًا إلى بقية النظام. معظم الاتصالات الفاشلة تُشخَّص في المهمة الخاطئة. ولهذا فإن الخطأ الأول أهم من إعادة المحاولة الثالثة.

اوصل إلى المستمع أولًا

قبل أن يُتبادل أي شيء من الهوية، يحلّ العميل اسمًا ويختار مسارًا ويفتح ناقلًا إلى منفذ. بوابة أسيرة تجيب على كل شيء، ومنفذ مغلق، واسم مضيف خاطئ: كلها تفشل هنا، ولا شيء منها مشكلة مصادقة. تغيير كلمة المرور لا يصلح أيًّا من الثلاثة. اقرأ أول سطر من الخطأ قبل أن تمسّ بيانات الاعتماد.

انتهاء المهلة، ورفض الشهادة، ورفض الحساب ثلاثة أعطال مختلفة بثلاثة فحوص مختلفة. ترتيبها أولًا هو ما يمنع تشخيص مشكلة شبكة على أنها مشكلة بيانات اعتماد.

أثبت هوية الطرف الآخر، ثم اشتق المفاتيح

كل بروتوكول يحتاج طريقة للتعرف على الخادم المقصود، سواء عبر مفتاح عام مضبوط أو سلسلة شهادات. تسجيل دخول المستخدم إضافة إلى ذلك الفحص، وليس بديلًا عنه. الخادم الذي يقبل كلمة مرورك لم يثبت شيئًا عن هويته. ولهذا فإن سرًا مشتركًا يُكتب في العميل ليس بديلًا عن التحقق مما أجاب.

تشتق المصافحة بعد ذلك مفاتيح حركة المرور من مدخلات البروتوكول نفسها، وكلمة مرور الدخول ليست عمومًا المفتاح الذي يُختم على كل حزمة. لمواد الهوية طويلة الأجل ومفاتيح الجلسة قصيرة الأجل أعمار مختلفة ومهام مختلفة. وهذا الفصل هو ما تتعلق به السرية الأمامية.

أبقِ التحقق مفعّلًا أثناء استكشاف الأخطاء، لأن نفقًا يتصل بعد تعطيلك لفحص ما لم يثبت سوى أن ذلك الفحص كان يفعل شيئًا. سجّل ما غيّرته، وأعده قبل الاختبار التالي.

ثلاثة بروتوكولات، ثلاث محادثات

في نشر OpenVPN القائم على TLS تتفاوض قناة التحكم على معاملات الأمان بينما تحمل قناة البيانات حركة النفق، لذا فإن خيار قناة البيانات ومشكلة الشهادة يقيمان في مكانين مختلفين. يصادق IKEv2 على المشاركين ثم ينشئ ارتباطات أمان IPsec بأعمار خاصة بها. يشتق WireGuard المفاتيح عبر تبادله القائم على Noise ويبقي آلة الحالة صغيرة عمدًا. معرفة أي الثلاثة تشغّله هي ما يحدد أي سجل يستحق القراءة.

العملاء المتشابهون في المظهر لا يعني أن الرسائل قابلة للتبادل تحت السطح، وقد لا يكون لحقل إعدادات موجود في منتج واحد نظير في منتج آخر. نسخ ملف تعريف بينهما تخمين وليس ترحيلًا.

ما لا تفعله المصافحة

المسارات وتحليل الأسماء وسياسة الوجهات كلها تبقى بعد ذلك. قد يبقى موقع داخلي غير قابل للوصول لأن مسار شبكته الفرعية مفقود، حتى لو تمت مصادقة الطرف الآخر بشكل صحيح والنفق قائم. التعامل مع ذلك كتشفير ضعيف يرسلك للبحث في الطبقة الخاطئة، وينتهي عادةً بتغيير شيفرة لا يصلح شيئًا.

تحديث المفاتيح وإعادة الاتصال يبدوان متشابهين أيضًا في معظم شاشات الحالة، ولا يخبرك أي منهما هل حُجبت حركة المرور العادية أثناء الانقطاع. سياسة فشل العميل وحدها تجيب عن ذلك السؤال، لذا اقرأ السياسة لا الأيقونة.

نفّذ المراحل بالترتيب أعلاه وتوقّف عند أول مرحلة تنتج خطأ. كل مرحلة لاحقة ترث حالة ما قبلها، لذا فإن فشلًا في المرحلة الثالثة لا يقول شيئًا عن الرابعة.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal