VPN idarəetmə kanalı və məlumat kanalı: düzgün qatı yoxlayın

Müştəri bağlı olduğunu deyir, server bir həmkar görür, tətbiq isə yenə heç bir yerə çatmır. Bu nöqtədə faydalı sual hansı şifrənin dəyişdiriləcəyi deyil, hansı kanalın uğursuz olduğudur. OpenVPN iki funksiyanı açıq şəkildə adlandırır: sessiyanı razılaşdıran və idarə edən idarəetmə kanalı və qorunan trafiki daşıyan məlumat kanalı. IKEv2 oxşar bölgünü IKE assosiasiyası və CHILD assosiasiyası vasitəsilə ifadə edir. Aşağıdakı yoxlamaları sıra ilə aparın, çünki idarəetmə yolundakı nasazlığa tətbiq edilən məlumat yolu düzəlişi dəyişiklik pəncərəsini boşa xərcləyir.

Ayıklamadan əvvəl kanalı adlandırın

İdarəetmə tərəfi təhlükəsizlik materialını razılaşdırır, həmkarları autentifikasiya edir və bağlantını idarə edir. Məlumat tərəfi isə lazımi vəziyyət yarandıqdan sonra seçilmiş trafiki daşıyır.

Onlar fərqli şəkildə uğursuz olur. İdarəetmə nasazlığı adətən sizi ümumiyyətlə istifadə edilə bilən sessiyasız qoyur və ya dövrə içində yenidən razılaşan sessiya ilə buraxır. Məlumat nasazlığı isə sağlam görünən sessiya buraxır, halbuki paketlər atılır, səhv marşruta göndərilir və ya qarşı tərəfin qəbul etməyəcəyi parametrlərlə qorunur. Oxuduğunuz jurnal sətri hansı vəziyyətdə olduğunuzu deyir, ona görə xəta mətnindən əvvəl etiketi oxuyun.

İdarəetmə mübadiləsini yoxlayın

Handshake-in tamamlandığını və hər iki tərəfin nəqliyyat, TLS versiyası və autentifikasiya metodu barədə razılaşdığını təsdiqləyin. OpenVPN jurnalları ayrı İdarəetmə Kanalı və Məlumat Kanalı sətirləri çap edir və sertifikat, TLS versiyası və ya tls-crypt uyğunsuzluğu məhz idarəetmə sətrində görünür.

İdarəetmə mübadiləsi uğursuz olarsa, əlçatan porta, sertifikat zəncirinə və onun etibarlılıq tarixlərinə, sistem saatına, müştəri ilə server arasındakı şifrə üst-üstə düşməsinə və hər hansı tls-auth və ya tls-crypt açarına baxın. Böyük sertifikat zənciri həm də hər hansı autentifikasiya tamamlanmadan yol MTU-sunda uğursuz ola bilər ki, bu da kriptoqrafik xəta deyil, fasilə kimi görünür.

İdarəetmə nasazlıqlarını idarəetmə parametrləri ilə düzəldin. Məlumat şifrəsini artırmaq və ya məlumat autentifikasiyası siyasətini yumşaltmaq sertifikat mübadiləsindən heç vaxt keçməmiş handshake-i tamamlamayacaq.

Məlumat kanalını ayrıca yoxlayın

Sessiya qurulduqdan sonra razılaşdırılmış məlumat şifrəsini və rejimini, açar törəməsini və açarın yenilənmə davranışını təsdiqləyin. OpenVPN-də məlumat kanalı sətri faktiki işə salınmış şifrəni və açar ölçüsünü göstərir ki, bu da profildəki ilk şifrədən fərqlənə bilər.

Sonra sessiyanın nə quraşdırdığını yoxlayın. PUSH_REPLY marşrutlar, DNS serveri və redirect-gateway direktivi əlavə edə bilər və bunlardan hər hansı trafiki tətbiqin istifadə edə bilmədiyi bir yerə göndərə bilər. IKEv2 üçün ekvivalent sual CHILD assosiasiyasının selektorlarının faktiki axındakı ünvanlara uyğun olub-olmadığıdır.

tls-auth və tls-crypt idarəetmə kanalına aiddir. Onlar handshake-i autentifikasiya edir və ya şifrələyir və tətbiqin məlumat şifrəsini seçmirlər. Onlardan birini məlumat yolunda dəyişiklik gözləyərək əlavə etsəniz, dəyişdirdiyiniz yeganə şey handshake olacaq.

Adları IKEv2 və OpenVPN ilə uyğunlaşdırın

IKEv2-də bir IKE təhlükəsizlik assosiasiyası və bir və ya bir neçə CHILD assosiasiyası var. IKE assosiasiyası idarəetmə mübadilələrini daşıyır; CHILD assosiasiyası qorunan trafiki və onun selektorlarını daşıyır. Onlar ayrı cədvəllər üzrə razılaşdırılır və açarları yenilənir, ona görə biri sağlam ola bilər, digəri isə yox.

ESP-nin içində TLS üslubunda idarəetmə kanalı yoxdur. İdarəetmə protokolu IKE-dir, ESP isə qorunan yükdür. ESP-ni məlumat kanalı adlandırmaq boş bir qısaltmadır və paket tutumu oxuyarkən qarışıqlıq yaradır, çünki tutum IKE mesajlarını və ESP paketlərini naqildə fərqli protokollar kimi göstərir.

Uyğunluğu qeydlərinizdə aydın saxlayın: OpenVPN idarəetmə kanalı və IKE SA idarəetmə tərəfidir, OpenVPN məlumat kanalı və CHILD SA trafik tərəfidir və bölgü oxşar görünsə də tətbiqlər bir-birini əvəz etmir.

Səhv parametri dəyişməyi dayandırın

Yolu bir istiqamətdə keçin: idarəetmə mübadiləsi, məlumat qoruması, yönləndirmə, sonra ad həlli. İlk uğursuz mərhələdə dayanın və yalnız o mərhələni düzəldin. Şlüzə işləyən ping olan, lakin tətbiq trafiki olmayan bağlı sessiya yönləndirmə və ya selektor problemidir, handshake problemi deyil.

Hər mərhələ üçün sübutu biletdə ayrıca yazın: idarəetmə jurnalı sətri, razılaşdırılmış məlumat parametrləri, quraşdırılmış marşrutlar və bir real sorğu. Bu quruluş işləyən şəxsiyyət yoxlamasının heç vaxt törətmədiyi sonrakı marşrut problemini düzəltmək üçün zəiflədilməsinin və məlumat şifrəsi dəyişikliyinin sertifikat xətasının həlli kimi satılmasının qarşısını alır.

OpenVPN protokol sənədləşməsi idarəetmə və məlumat bölgüsü üçün istinaddır; satıcının interfeysi eyni iki funksiya üçün başqa sözlər işlədəndə ondan istifadə edin.