VPN əl sıxma mərhələləri: trafik axmazdan əvvəl nə baş verir

Qoşul düyməsinə basmaq müstəqil şəkildə uğur qazanan və ya uğursuz olan dörd ayrı işə başlayır. Müştəri dinləyiciyə çatmalı, qarşı tərəfin kim olduğunu razılaşdırmalı, açarları çıxarmalı və sonra işlək tuneli sistemin qalan hissəsinə təhvil verməlidir. Uğursuz bağlantıların çoxu yanlış işdə diaqnoz edilir. Buna görə ilk xəta üçüncü təkrar cəhddən daha vacibdir.

Əvvəlcə dinləyiciyə çatın

Hər hansı kimlik mübadiləsindən əvvəl müştəri adı həll edir, marşrut seçir və porta nəqliyyat açır. Hər şeyə cavab verən əsir portal, bağlı port və yanlış host adı burada uğursuz olur və bunların heç biri autentifikasiya problemi deyil. Şifrəni dəyişmək bu üçünün heç birini düzəldə bilməz. Kimlik məlumatlarına toxunmadan əvvəl xətanın ilk sətrini oxuyun.

Taym-aut, sertifikat rəddi və hesabın rədd edilməsi üç fərqli yoxlama ilə üç fərqli nasazlıqdır. Onları əvvəlcə sıralamaq şəbəkə probleminin kimlik problemi kimi axtarılmasının qarşısını alır.

Qarşı tərəfi təsdiqləyin, sonra açarları çıxarın

Hər protokol nəzərdə tutulan serveri tanımağın bir yoluna ehtiyac duyur: konfiqurasiya edilmiş açıq açar və ya sertifikat zənciri. İstifadəçi girişi həmin yoxlamaya əlavədir, onun əvəzi deyil. Şifrənizi qəbul edən server öz kimliyi barədə heç nə sübut etməmişdir. Buna görə müştəriyə yazılan ortaq sirr cavab verənin yoxlanmasının əvəzi deyil.

Sonra mübadilə trafik açarlarını protokolun öz girişlərindən çıxarır və giriş şifrəsi ümumiyyətlə hər paketə vurulan açar deyil. Uzunmüddətli kimlik materialı ilə qısamüddətli sessiya açarlarının ömürləri və işləri fərqlidir. İrəliyə doğru məxfilik məhz bu ayrılıqdan ibarətdir.

Nasazlıq axtararkən yoxlamanı işlək saxlayın, çünki bir yoxlamanı söndürdükdən sonra qoşulan tunel yalnız həmin yoxlamanın nəsə etdiyini sübut edir. Nəyi dəyişdiyinizi qeyd edin və növbəti sınaqdan əvvəl onu geri qaytarın.

Üç protokol, üç söhbət

TLS əsaslı OpenVPN qurulumunda idarəetmə kanalı təhlükəsizlik parametrlərini razılaşdırır, data kanalı isə tunel trafikini daşıyır, ona görə data kanalı seçimi ilə sertifikat problemi fərqli yerlərdə olur. IKEv2 hər iki iştirakçını autentifikasiya edir və sonra öz ömürləri olan IPsec təhlükəsizlik assosiasiyaları qurur. WireGuard açarları Noise əsaslı mübadilə ilə çıxarır və vəziyyət maşınını qəsdən kiçik saxlayır. Hansını işlətdiyinizi bilmək hansı jurnalın oxunmağa dəyər olduğunu müəyyən edir.

Oxşar görünən müştərilər mesajların altda bir-birini əvəz edə bilməsi demək deyil və bir məhsulda olan konfiqurasiya sahəsinin digərində qarşılığı olmaya bilər. Onlar arasında profil kopyalamaq miqrasiya deyil, təxmindir.

Əl sıxma nə etmir

Marşrutlar, ad həlli və təyinat siyasəti hamısı sonra da qalır. Daxili sayt alt şəbəkə marşrutu çatışmadığı üçün əlçatmaz qala bilər, hətta qarşı tərəf düzgün autentifikasiya olunub və tunel işləkdirsə. Buna zəif şifrələmə kimi baxmaq sizi yanlış qatda axtarışa göndərir və bu, adətən heç nəyi düzəltməyən şifrə dəyişikliyi ilə bitir.

Açar yenilənməsi və yenidən qoşulma da əksər status göstəricilərində oxşar görünür və heç biri kəsinti zamanı adi trafikin bloklanıb-bloklanmadığını demir. Bu suala yalnız müştərinin uğursuzluq siyasəti cavab verir, ona görə simvolu deyil, siyasəti oxuyun.

Mərhələləri yuxarıdakı sıra ilə işləyin və xəta verən ilk mərhələdə dayanın. Hər sonrakı mərhələ əvvəlkilərin vəziyyətini miras alır, ona görə üçüncü mərhələdəki uğursuzluq dördüncü haqqında heç nə demir.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal