VPN kontrolni kanal nasuprot kanalu podataka: provjerite pravi sloj

Klijent kaže da je povezan, server vidi partnera, a aplikacija i dalje ne doseže ništa. U tom trenutku korisno pitanje nije koji šifru promijeniti, nego koji je kanal zakazao. OpenVPN eksplicitno imenuje dvije funkcije: kontrolni kanal koji pregovara o sesiji i upravlja njome, i kanal podataka koji nosi zaštićeni saobraćaj. IKEv2 izražava sličnu podjelu kroz IKE asocijaciju i CHILD asocijaciju. Izvedite provjere ispod po redu, jer popravak putanje podataka primijenjen na kvar kontrolne putanje troši prozor za promjenu.

Imenujte kanal prije nego što ga otklanjate

Kontrolna strana pregovara o sigurnosnom materijalu, autentificira partnere i upravlja vezom. Strana podataka nosi odabrani saobraćaj kada potrebno stanje postoji.

One zatajuju različito. Kvar kontrole obično vas ostavlja bez ikakve upotrebljive sesije, ili sa sesijom koja iznova pregovara u petlji. Kvar podataka ostavlja sesiju koja izgleda zdravo dok se paketi odbacuju, pogrešno usmjeravaju ili štite parametrima koje druga strana neće prihvatiti. Linija dnevnika koju čitate govori u kojoj ste situaciji, zato pročitajte oznaku prije teksta greške.

Provjerite kontrolnu razmjenu

Potvrdite da je rukovanje završeno i da se obje strane slažu o transportu, verziji TLS-a i metodi autentifikacije. OpenVPN dnevnici ispisuju odvojene linije kontrolnog kanala i kanala podataka, a kontrolna linija je mjesto gdje se pojavljuje nesklad certifikata, verzije TLS-a ili tls-crypt.

Ako kontrolna razmjena zataji, pogledajte dostupni port, lanac certifikata i njegove datume valjanosti, sistemski sat, preklapanje šifri između klijenta i servera te svaki tls-auth ili tls-crypt ključ. Velik lanac certifikata može također zatajiti na MTU putanje prije nego što se ikakva autentifikacija završi, što izgleda kao istek vremena, a ne kao kriptografska greška.

Popravljajte kvarove kontrole kontrolnim postavkama. Podizanje šifre podataka ili ublažavanje politike autentifikacije podataka neće dovršiti rukovanje koje nikada nije prošlo razmjenu certifikata.

Provjerite kanal podataka odvojeno

Kada je sesija uspostavljena, potvrdite pregovaranu šifru i način podataka, izvođenje ključeva i ponašanje pri obnavljanju ključa. U OpenVPN-u linija kanala podataka navodi šifru i veličinu ključa koji su stvarno inicijalizirani, a to se može razlikovati od prve šifre u profilu.

Zatim provjerite šta je sesija instalirala. PUSH_REPLY može dodati rute, DNS server i direktivu redirect-gateway, a bilo šta od toga može poslati saobraćaj tamo gdje ga aplikacija ne može koristiti. Za IKEv2 ekvivalentno pitanje je da li se selektori CHILD asocijacije poklapaju s adresama u stvarnom toku.

tls-auth i tls-crypt pripadaju kontrolnom kanalu. Oni autentificiraju ili šifriraju rukovanje i ne biraju šifru podataka aplikacije. Ako dodate jedan od njih očekujući promjenu putanje podataka, jedino što ste promijenili jest rukovanje.

Povežite nazive s IKEv2 i OpenVPN

IKEv2 ima IKE sigurnosnu asocijaciju i jednu ili više CHILD asocijacija. IKE asocijacija nosi kontrolne razmjene; CHILD asocijacija nosi zaštićeni saobraćaj i njegove selektore. O njima se pregovara i ključevi im se obnavljaju po odvojenim rasporedima, pa jedna može biti zdrava dok druga nije.

ESP nema unutar sebe kontrolni kanal u stilu TLS-a. Kontrolni protokol je IKE, a ESP je zaštićeni teret. Nazivati ESP kanalom podataka labava je skraćenica koja zbunjuje kada čitate snimku paketa, jer snimka prikazuje IKE poruke i ESP pakete kao različite protokole na žici.

Držite mapiranje jasnim u svojim bilješkama: OpenVPN kontrolni kanal i IKE SA su upravljačka strana, OpenVPN kanal podataka i CHILD SA su saobraćajna strana, a implementacije nisu zamjenjive čak i kada podjela izgleda slično.

Prestanite mijenjati pogrešnu postavku

Prođite putanjom u jednom smjeru: kontrolna razmjena, zaštita podataka, prosljeđivanje, zatim razrješavanje imena. Zaustavite se na prvom stupnju koji zataji i popravite samo taj stupanj. Povezana sesija s ispravnim pingom prema pristupniku, ali bez saobraćaja aplikacije, problem je prosljeđivanja ili selektora, a ne rukovanja.

Zapišite dokaze za svaki stupanj odvojeno u tiketu: liniju kontrolnog dnevnika, pregovarane parametre podataka, instalirane rute i jedan stvarni zahtjev. Takva struktura sprječava da se ispravna provjera identiteta oslabi kako bi se popravio kasniji problem usmjeravanja koji ona nikada nije izazvala, i sprječava da se promjena šifre podataka proda kao popravak greške certifikata.

Dokumentacija OpenVPN protokola referenca je za podjelu kontrole i podataka; upotrijebite je kada sučelje dobavljača koristi druge riječi za iste dvije funkcije.