Canal de control i canal de dades a la VPN: comproveu la capa correcta

El client diu que està connectat, el servidor veu un parell i l'aplicació encara no arriba enlloc. En aquest moment, la pregunta útil no és quin xifratge cal canviar, sinó quin canal ha fallat. OpenVPN anomena explícitament dues funcions: un canal de control que negocia i gestiona la sessió, i un canal de dades que transporta el trànsit protegit. IKEv2 expressa una divisió semblant mitjançant l'associació IKE i l'associació CHILD. Feu les comprovacions següents per ordre, perquè una correcció de la ruta de dades aplicada a una fallada de la ruta de control malbarata una finestra de canvi.

Anomeneu el canal abans de depurar-lo

El costat de control negocia el material de seguretat, autentica els parells i gestiona la connexió. El costat de dades transporta el trànsit seleccionat quan existeix l'estat necessari.

Fallin de maneres diferents. Una fallada de control normalment us deixa sense cap sessió utilitzable, o amb una sessió que renegocia en bucle. Una fallada de dades deixa una sessió que sembla sana mentre els paquets es descarten, s'encaminen malament o es protegeixen amb paràmetres que l'altre costat no acceptarà. La línia de registre que llegiu us diu en quina situació sou, així que llegiu l'etiqueta abans del text de l'error.

Comproveu l'intercanvi de control

Confirmeu que l'apretada de mans es completa i que tots dos costats coincideixen en el transport, la versió de TLS i el mètode d'autenticació. Els registres d'OpenVPN imprimeixen línies separades del canal de control i del canal de dades, i la línia de control és on apareix una discrepància de certificat, de versió de TLS o de tls-crypt.

Si l'intercanvi de control falla, mireu el port accessible, la cadena de certificats i les seves dates de validesa, el rellotge del sistema, el solapament de xifratges entre client i servidor i qualsevol clau tls-auth o tls-crypt. Una cadena de certificats gran també pot fallar a l'MTU del camí abans que es completi cap autenticació, cosa que sembla un temps d'espera i no un error criptogràfic.

Corregiu les fallades de control amb paràmetres de control. Apujar el xifratge de dades o relaxar la política d'autenticació de dades no completarà una apretada de mans que mai no ha superat l'intercanvi de certificats.

Comproveu el canal de dades per separat

Un cop la sessió està activa, confirmeu el xifratge i el mode de dades negociats, la derivació de claus i el comportament de renovació de clau. A OpenVPN, la línia del canal de dades indica el xifratge i la mida de clau que realment s'han inicialitzat, que poden diferir del primer xifratge del perfil.

Després comproveu què ha instal·lat la sessió. Un PUSH_REPLY pot afegir rutes, un servidor DNS i una directiva redirect-gateway, i qualsevol d'aquests pot enviar trànsit on l'aplicació no el pot utilitzar. Per a IKEv2, la pregunta equivalent és si els selectors de l'associació CHILD coincideixen amb les adreces del flux real.

tls-auth i tls-crypt pertanyen al canal de control. Autentiquen o xifren l'apretada de mans i no seleccionen el xifratge de dades de l'aplicació. Si n'afegiu un esperant un canvi a la ruta de dades, l'única cosa que heu canviat és l'apretada de mans.

Relacioneu els noms amb IKEv2 i OpenVPN

IKEv2 té una associació de seguretat IKE i una o més associacions CHILD. L'associació IKE transporta els intercanvis de control; l'associació CHILD transporta el trànsit protegit i els seus selectors. Es negocien i es renoven les claus segons calendaris separats, de manera que una pot estar sana mentre l'altra no ho està.

ESP no té dins seu cap canal de control a l'estil de TLS. El protocol de control és IKE, i ESP és la càrrega protegida. Anomenar ESP el canal de dades és una abreviatura fluixa que es torna confusa quan llegiu una captura de paquets, perquè la captura mostra els missatges IKE i els paquets ESP com a protocols diferents al fil.

Mantingueu la correspondència explícita a les notes: el canal de control d'OpenVPN i l'IKE SA són el costat de gestió, el canal de dades d'OpenVPN i el CHILD SA són el costat del trànsit, i les implementacions no són intercanviables encara que la divisió sembli similar.

Deixeu de canviar el paràmetre equivocat

Recorreu el camí en una sola direcció: intercanvi de control, protecció de dades, encaminament i després resolució de noms. Atureu-vos a la primera etapa que falli i corregiu només aquella etapa. Una sessió connectada amb un ping que funciona fins a la passarel·la però sense trànsit de l'aplicació és un problema d'encaminament o de selectors, no d'apretada de mans.

Escriviu les proves de cada etapa per separat al tiquet: la línia de registre de control, els paràmetres de dades negociats, les rutes instal·lades i una petició real. Aquesta estructura evita que es debiliti una comprovació d'identitat que funciona per reparar un problema d'encaminament posterior que mai no va causar, i evita que es vengui un canvi de xifratge de dades com a solució d'un error de certificat.

La documentació del protocol OpenVPN és la referència per a la divisió entre control i dades; feu-la servir quan la interfície d'un proveïdor faci servir altres paraules per a les mateixes dues funcions.