Кантральны канал і канал даных у VPN: правярайце патрэбны ўзровень

Кліент кажа, што злучаны, сервер бачыць партнёра, а праграма ўсё роўна нікуды не дацягваецца. У гэты момант карыснае пытанне не пра тое, які шыфр змяніць, а пра тое, які канал зламаўся. OpenVPN называе дзве функцыі адкрыта: кантральны канал, які дамаўляецца аб сеансе і кіруе ім, і канал даных, які нясе абаронены трафік. IKEv2 выяўляе падобнае размежаванне праз асацыяцыю IKE і асацыяцыю CHILD. Выконвайце праверкі ніжэй па парадку, бо выпраўленне шляху даных, ужытае да збою шляху кантролю, дарэмна траціць акно змен.

Назвіце канал перад адладкай

Бок кантролю дамаўляецца аб матэрыялах бяспекі, аўтэнтыфікуе партнёраў і кіруе злучэннем. Бок даных перадае абраны трафік, калі патрэбны стан ужо існуе.

Яны адмаўляюць па-рознаму. Збой кантролю звычайна пакідае вас зусім без прыдатнага сеансу або з сеансам, які цыклічна перадамаўляецца. Збой даных пакідае сеанс, які выглядае здаровым, пакуль пакеты скідаюцца, ідуць не туды або абараняюцца параметрамі, якія іншы бок не прыме. Радок журнала, які вы чытаеце, кажа, у якім вы выпадку, таму чытайце пазнаку перад тэкстам памылкі.

Праверце абмен кантролю

Пераканайцеся, што рукапоціск завяршаецца і што абодва бакі згодныя на транспарт, версію TLS і метад аўтэнтыфікацыі. Журналы OpenVPN друкуюць асобныя радкі кантральнага канала і канала даных, і менавіта радок кантролю паказвае неадпаведнасць сертыфіката, версіі TLS або tls-crypt.

Калі абмен кантролю зрываецца, паглядзіце на дасяжны порт, ланцужок сертыфікатаў і яго даты дзеяння, гадзіннік сістэмы, перакрыцце шыфраў паміж кліентам і серверам і любы ключ tls-auth або tls-crypt. Вялікі ланцужок сертыфікатаў таксама можа збаіць на MTU шляху да завяршэння любой аўтэнтыфікацыі, што выглядае як тайм-аўт, а не як крыптаграфічная памылка.

Выпраўляйце збоі кантролю наладамі кантролю. Павелічэнне шыфра даных або паслабленне палітыкі аўтэнтыфікацыі даных не завершыць рукапоціск, які так і не прайшоў абмен сертыфікатамі.

Праверце канал даных асобна

Калі сеанс усталяваны, пацвердзіце дамоўлены шыфр і рэжым даных, вывядзенне ключоў і паводзіны пры перазамене ключа. У OpenVPN радок канала даных называе шыфр і памер ключа, якія фактычна ініцыялізаваныя, і яны могуць адрознівацца ад першага шыфра ў профілі.

Затым праверце, што ўсталяваў сеанс. PUSH_REPLY можа дадаць маршруты, DNS-сервер і дырэктыву redirect-gateway, і любое з гэтага можа адправіць трафік туды, дзе праграма не можа яго выкарыстаць. Для IKEv2 эквівалентнае пытанне — ці селектары асацыяцыі CHILD адпавядаюць адрасам у фактычным патоку.

tls-auth і tls-crypt належаць кантральнаму каналу. Яны аўтэнтыфікуюць або шыфруюць рукапоціск і не выбіраюць шыфр даных праграмы. Калі вы дадаяце адзін з іх, чакаючы змены шляху даных, адзінае, што вы змянілі, — гэта рукапоціск.

Суаднясіце назвы з IKEv2 і OpenVPN

У IKEv2 ёсць асацыяцыя бяспекі IKE і адна або некалькі асацыяцый CHILD. Асацыяцыя IKE нясе абмены кантролю; асацыяцыя CHILD нясе абаронены трафік і яго селектары. Яны дамаўляюцца і абнаўляюць ключы па асобных графіках, таму адна можа быць здаровай, пакуль другая не.

У ESP няма ўнутры кантральнага канала ў стылі TLS. Пратакол кантролю — гэта IKE, а ESP — гэта абаронены карысны груз. Называць ESP каналам даных — вольнае скарачэнне, якое блытае пры чытанні перахопу пакетаў, бо перахоп паказвае паведамленні IKE і пакеты ESP як розныя пратаколы ў лініі.

Трымайце суаднясенне яўным у нататках: кантральны канал OpenVPN і IKE SA — гэта бок кіравання, канал даных OpenVPN і CHILD SA — гэта бок трафіку, і рэалізацыі не ўзаемазаменныя, нават калі размежаванне выглядае падобна.

Спыніце змяняць не тую наладу

Прайдзіце шлях у адным кірунку: абмен кантролю, абарона даных, перасылка, затым развязанне імёнаў. Спыніцеся на першым этапе, які збаіў, і выпраўляйце толькі яго. Злучаны сеанс з працоўным ping да шлюза, але без трафіку праграм — гэта праблема перасылкі або селектараў, а не праблема рукапоціску.

Запішыце доказы для кожнага этапа асобна ў заяўцы: радок журнала кантролю, дамоўленыя параметры даных, усталяваныя маршруты і адзін рэальны запыт. Такая структура не дае паслабіць працоўную праверку асобы, каб выправіць пазнейшую праблему маршрутызацыі, якую яна ніколі не выклікала, і не дае прадаць змену шыфра даных як рашэнне памылкі сертыфіката.

Дакументацыя пратаколу OpenVPN — гэта крыніца пра размежаванне кантролю і даных; карыстайцеся ёю, калі інтэрфейс пастаўшчыка ўжывае іншыя словы для тых жа дзвюх функцый.