Řídicí a datový kanál VPN: kontrolujte správnou vrstvu

Klient hlásí připojeno, server vidí protějšek, a aplikace přesto nikam nedosáhne. V tu chvíli není užitečná otázka, kterou šifru změnit, ale který kanál selhal. OpenVPN pojmenovává dvě funkce výslovně: řídicí kanál, který vyjednává a spravuje relaci, a datový kanál, který nese chráněný provoz. IKEv2 vyjadřuje podobné rozdělení pomocí asociace IKE a asociace CHILD. Proveďte níže uvedené kontroly v pořadí, protože oprava datové cesty aplikovaná na závadu řídicí cesty plýtvá oknem pro změnu.

Pojmenujte kanál, než začnete ladit

Řídicí strana vyjednává bezpečnostní materiál, ověřuje protějšky a spravuje spojení. Datová strana nese vybraný provoz, jakmile existuje potřebný stav.

Selhávají různě. Selhání řízení obvykle zanechá žádnou použitelnou relaci, nebo relaci, která znovu vyjednává ve smyčce. Selhání dat zanechá relaci, která vypadá zdravě, zatímco se pakety zahazují, směrují špatně nebo se chrání parametry, které druhá strana nepřijme. Řádek protokolu, který čtete, vám říká, v které situaci jste, takže si přečtěte označení dřív než text chyby.

Zkontrolujte řídicí výměnu

Ověřte, že se handshake dokončí a že se obě strany shodnou na transportu, verzi TLS a metodě autentizace. Protokoly OpenVPN tisknou samostatné řádky řídicího kanálu a datového kanálu a právě v řídicím řádku se objeví nesoulad certifikátu, verze TLS nebo tls-crypt.

Pokud řídicí výměna selže, podívejte se na dostupný port, řetěz certifikátů a jeho data platnosti, systémové hodiny, překryv šifer mezi klientem a serverem a případný klíč tls-auth nebo tls-crypt. Velký řetěz certifikátů může také selhat na MTU cesty dřív, než se dokončí jakákoli autentizace, což vypadá jako časový limit, ne jako kryptografická chyba.

Opravujte závady řízení nastavením řízení. Zvýšení datové šifry nebo uvolnění zásady autentizace dat nedokončí handshake, který nikdy nepřešel výměnou certifikátů.

Zkontrolujte datový kanál zvlášť

Jakmile je relace navázána, ověřte vyjednanou datovou šifru a režim, odvození klíčů a chování při obnově klíče. V OpenVPN řádek datového kanálu uvádí šifru a velikost klíče, které byly skutečně inicializovány, a ty se mohou lišit od první šifry v profilu.

Potom zkontrolujte, co relace nainstalovala. PUSH_REPLY může přidat trasy, server DNS a direktivu redirect-gateway a kterákoli z nich může poslat provoz tam, kde ho aplikace nedokáže použít. U IKEv2 je ekvivalentní otázkou, zda selektory asociace CHILD odpovídají adresám ve skutečném toku.

tls-auth a tls-crypt patří k řídicímu kanálu. Ověřují nebo šifrují handshake a nevybírají datovou šifru aplikace. Pokud jeden z nich přidáte s očekáváním změny datové cesty, jediné, co jste změnili, je handshake.

Přiřaďte názvy k IKEv2 a OpenVPN

IKEv2 má bezpečnostní asociaci IKE a jednu nebo více asociací CHILD. Asociace IKE nese řídicí výměny; asociace CHILD nese chráněný provoz a její selektory. Vyjednávají se a obnovují klíče podle oddělených plánů, takže jedna může být zdravá, zatímco druhá ne.

ESP nemá uvnitř řídicí kanál ve stylu TLS. Řídicím protokolem je IKE a ESP je chráněný obsah. Nazývat ESP datovým kanálem je volná zkratka, která začne mást, když čtete zachycení paketů, protože zachycení ukazuje zprávy IKE a pakety ESP jako různé protokoly na lince.

Držte přiřazení výslovné ve svých poznámkách: řídicí kanál OpenVPN a IKE SA jsou strana správy, datový kanál OpenVPN a CHILD SA jsou strana provozu, a implementace nejsou zaměnitelné, i když rozdělení vypadá podobně.

Přestaňte měnit špatné nastavení

Projděte cestu jedním směrem: řídicí výměna, ochrana dat, předávání a pak překlad jmen. Zastavte se u prvního stupně, který selže, a opravte jen ten. Připojená relace s funkčním pingem na bránu, ale bez provozu aplikace, je problém předávání nebo selektorů, ne handshake.

Zapište důkazy pro každý stupeň zvlášť do tiketu: řádek řídicího protokolu, vyjednané datové parametry, nainstalované trasy a jeden skutečný požadavek. Taková struktura brání tomu, aby se funkční ověření identity oslabilo kvůli opravě pozdějšího problému se směrováním, který nikdy nezpůsobilo, a brání tomu, aby se změna datové šifry prodala jako oprava chyby certifikátu.

Dokumentace protokolu OpenVPN je referencí pro rozdělení řízení a dat; použijte ji, když rozhraní dodavatele používá jiná slova pro stejné dvě funkce.