Крокі рукапаціскання VPN: што адбываецца да таго, як пойдзе трафік

Націск «Падключыцца» запускае чатыры асобныя задачы, якія ўдаюцца або правальваюцца незалежна. Кліент павінен дасягнуць слухача, дамовіцца, хто партнёр, вывесці ключы і затым перадаць працоўны тунель астатняй сістэме. Большасць няўдалых злучэнняў дыягнастуюць у няправільнай задачы. Таму першая памылка важнейшая за трэцюю спробу.

Спачатку дасягніце слухача

Перш чым абмяняцца хоць якая ідэнтычнасць, кліент разрознівае імя, выбірае маршрут і адкрывае транспарт да порта. Прымусовы партал, які адказвае на ўсё, зачынены порт і няправільнае імя хоста правальваюцца тут, і ніводнае з гэтага не з'яўляецца праблемай аўтэнтыфікацыі. Змена пароля не выправіць ні аднаго з трох. Прачытайце першы радок памылкі, перш чым чапаць уліковыя даныя.

Тайм-аўт, адмова сертыфіката і адмова ўліковага запісу — гэта тры розныя няспраўнасці з трыма рознымі праверкамі. Менавіта іх першаснае ўпарадкаванне не дазваляе дыягнаставаць сеткавую праблему як праблему ўліковых даных.

Пацвердзіце партнёра, потым вывесьце ключы

Кожнаму пратаколу патрэбен спосаб пазнаць патрэбны сервер: наладжаны публічны ключ або ланцужок сертыфікатаў. Уваход карыстальніка дапаўняе гэту праверку, а не замяняе яе. Сервер, які прымае ваш пароль, нічога не даказаў пра сваю ідэнтычнасць. Таму агульны сакрэт, уведзены ў кліент, не замяняе праверкі таго, хто адказаў.

Затым абмен выводзіць ключы трафіку з уласных уваходаў пратаколу, і пароль уваходу звычайна не з'яўляецца ключом, які ставіцца на кожны пакет. Доўгатэрміновы матэрыял ідэнтычнасці і кароткачасовыя ключы сеансу маюць розныя тэрміны і розныя задачы. Менавіта пра гэтае раздзяленне і ідзе гаворка ў прамой сакрэтнасці.

Трымайце праверку ўключанай падчас пошуку няспраўнасці, бо тунель, які падключыўся пасля адключэння праверкі, не даказаў нічога, акрамя таго, што праверка нешта рабіла. Запішыце, што вы змянілі, і вярніце гэта перад наступным тэстам.

Тры пратаколы, тры размовы

У разгортванні OpenVPN на базе TLS кантрольны канал узгадняе параметры бяспекі, а канал даных нясе трафік тунелю, таму опцыя канала даных і праблема сертыфіката знаходзяцца ў розных месцах. IKEv2 аўтэнтыфікуе абодвух удзельнікаў і затым усталёўвае асацыяцыі бяспекі IPsec з уласнымі тэрмінамі. WireGuard выводзіць ключы праз абмен на аснове Noise і наўмысна трымае машыну станаў маленькай. Веданне таго, які з трох вы запускаеце, вызначае, які журнал варта чытаць.

Падобныя знешне кліенты не азначаюць узаемазаменнасць паведамленняў унутры, і поле наладаў, якое ёсць у адным прадукце, можа не мець адпаведніка ў іншым. Капіраванне профілю паміж імі — гэта здагадка, а не міграцыя.

Што рукапацісканне не робіць

Маршруты, разрозніванне імёнаў і палітыка прызначэння ўсё застаецца пасля. Унутраны сайт можа заставацца недаступным, бо няма маршруту яго падсеткі, нават калі партнёр правільна аўтэнтыфікаваны і тунель працуе. Калі лічыць гэта слабым шыфраваннем, вы пачнеце шукаць не ў тым пласце, і звычайна гэта сканчаецца зменай шыфра, якая нічога не выпраўляе.

Абнаўленне ключоў і перападключэнне таксама выглядаюць падобна ў большасці індыкатараў стану, і ніводнае з іх не паведамляе, ці блакаваўся звычайны трафік падчас перапынку. На гэтае пытанне адказвае толькі палітыка збою кліента, таму чытайце палітыку, а не значок.

Выконвайце этапы ў парадку вышэй і спыніцеся на першым, які дае памылку. Кожны наступны этап атрымлівае стан папярэдніх, таму збой на трэцім этапе нічога не кажа пра чацвёрты.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal