Чаму назва адаптара VPN можа хаваць іншы пратакол
Подпіс побач з адаптарам апісвае праграмнае забеспячэнне, якое яго стварыла, а не пакеты ў сетцы. Праверце кліент, профіль і партнёра, перш чым выбіраць рашэнне.
Подпіс побач з адаптарам VPN апісвае праграмнае забеспячэнне, якое стварыла інтэрфейс, а гэта на адзін узровень вышэй за пакеты, што насамрэч ідуць па сетцы. Плагін можа паказаць адаптар, назва якога адлюстроўвае ўласную класіфікацыю плагіна, а не інкапсуляцыю ў сетцы. Чытанне кліента, профілю і партнёра адказвае на тое, на што назва адказаць не можа. Два злучэнні, якія ў меню налад выглядаюць аднолькава, могуць у запісе паводзіць сябе цалкам па-рознаму.
Назва паходзіць ад пастаўшчыка, а не ад сеткі
Windows вызначае кароткі спіс тыпаў злучэнняў для ўбудаваных кліентаў VPN, а прадукты трэціх бакоў усталёўваюць побач свой стек. Адаптар, які з'яўляецца ў спісе сетак, ствараецца тым драйверам, які валодае злучэннем, таму яго назва — гэта доказ пра драйвер, а не гарантыя пра знешні пратакол. Менавіта таму выдаленне аднаго кліента можа пакінуць назву адаптара.
Дакументацыя Microsoft пра тыпы злучэнняў VPN недвухсэнсоўна сцвярджае, што тып апісвае канфігурацыю кліента для гэтага злучэння. Калі ўдзельнічае плагін, адлюстраваны тып ідзе за тым, што рэгіструе плагін, а фактычная інкапсуляцыя можа быць зусім іншай.
Такое ж накладанне ўзроўняў сустракаецца і ў іншых месцах. Віртуальны адаптар на хасту Linux, прылада TAP або пашырэнне мабільнай службы VPN — усе гэта інтэрфейсы, створаныя праграмным забеспячэннем, і назву інтэрфейса выбірае гэта праграмнае забеспячэнне, а не ўзгадняе з серверам.
Што могуць і чаго не могуць сказаць порты і адрасы
Кожны ўзровень пакідае розныя доказы. Чытайце іх асобна, і подпіс перастае быць прысудам:
| Evidence | What it establishes | Where it misleads |
|---|---|---|
| Adapter name | Which driver bound the interface | Plugins choose their own labels |
| Profile file | Which client consumes the configuration | Abstraction layers hide the transport |
| Outer port | Which port the peer accepts | 443 carries several protocols plus HTTPS |
| Tunnel address | The inner interface's network | Says nothing about encapsulation |
TCP 443 — самы ясны прыклад. Ён можа несці SSTP, тунель OpenVPN TCP, сеанс SoftEther SSL-VPN або звычайны вэб-трафік, і адзін нумар порта не можа іх адрозніць. Таму правіла міжсеткавага экрана, якое дазваляе 443, не з'яўляецца доказам таго, які кліент выкарыстоўваецца. Запіс на знешнім інтэрфейсе вырашае гэта, і вырашае за секунды.
Чытайце фармат профілю і партнёра
Канфігурацыйны файл — гэта больш надзейная падказка, чым адаптар. Профіль OpenVPN змяшчае дырэктывы, такія як remote, proto і ca; канфігурацыя WireGuard змяшчае раздзел [Interface] з прыватным ключом і раздзелы [Peer] з дазволенымі IP; запіс у тэлефоннай кнізе Windows захоўвае тып злучэння ў сваім фармаце. Кожны сінтаксіс належыць аднаму рэалізацыі.
Затым паглядзіце на дакументацыю і журналы партнёра. Сервер ведае, які апрацоўшчык пратаколу прыняў сеанс, і яго журнал называе этап, які завяршыўся. Гэты доказ мацнейшы за любы подпіс на працоўным стале, бо ён запісваецца там, дзе пакеты насамрэч інтэрпрэтаваліся.
Выбірайце кіраўніцтва па пратаколе, а не па подпісе
Дырэктыва OpenVPN належыць OpenVPN, ключы і дазволеныя IP WireGuard належаць WireGuard, а профіль SSTP не з'яўляецца ні тым, ні іншым. Уставіць опцыю аднаго кліента ў іншы, таму што назва адаптара гучала сумяшчальна, — гэта спосаб зламаць працоўную канфігурацыю.
Пасля вызначэння пратаколу выберыце адпаведны шлях пошуку няспраўнасцей: уласны журнал кліента, журнал сервера, спецыфічны для пратаколу, і запіс, які паказвае знешні абмен. Адтуль у збою ёсць назва, а не подпіс.