Sianel reoli a sianel ddata VPN: gwirio'r haen gywir

Mae'r cleient yn dweud ei fod wedi cysylltu, mae'r gweinydd yn gweld partner, ac ni all y rhaglen gyrraedd dim o hyd. Ar y pwynt hwnnw nid y cwestiwn defnyddiol yw pa amsoddiant i'w newid, ond pa sianel a fethodd. Mae OpenVPN yn enwi dwy swyddogaeth yn bendant: sianel reoli sy'n trafod ac yn rheoli'r sesiwn, a sianel ddata sy'n cario'r traffig gwarchodedig. Mae IKEv2 yn mynegi rhaniad tebyg drwy'r gymdeithas IKE a'r gymdeithas CHILD. Ewch drwy'r gwiriadau isod mewn trefn, oherwydd bod trwsio llwybr data ar fai llwybr rheoli yn gwastraffu ffenestr newid.

Enwch y sianel cyn ei dadfygio

Mae ochr rheoli yn trafod deunydd diogelwch, yn dilysu partneriaid ac yn rheoli'r cysylltiad. Mae ochr data yn cario'r traffig a ddewiswyd pan fydd y cyflwr angenrheidiol yn bodoli.

Maent yn methu'n wahanol. Mae methiant rheoli fel arfer yn eich gadael heb sesiwn ddefnyddiadwy o gwbl, neu gyda sesiwn sy'n aildrafod mewn dolen. Mae methiant data yn gadael sesiwn sy'n edrych yn iach tra bo pecynnau'n cael eu gollwng, eu camgyfeirio neu eu hamddiffyn â pharamedrau na fydd yr ochr arall yn eu derbyn. Mae'r llinell log rydych yn ei darllen yn dweud pa un o'r ddau ydych ynddo, felly darllenwch y label cyn testun y gwall.

Gwiriwch y gyfnewid reoli

Cadarnhewch fod yr ysgwyd llaw yn cwblhau a bod y ddwy ochr yn cytuno ar y cludiant, fersiwn TLS a'r dull dilysu. Mae logiau OpenVPN yn argraffu llinellau ar wahân ar gyfer y sianel reoli a'r sianel ddata, a'r llinell reoli yw lle mae anghysondeb tystysgrif, fersiwn TLS neu tls-crypt yn ymddangos.

Os bydd'r gyfnewid reoli yn methu, edrychwch ar y porth cyrraeddadwy, y gadwyn dystysgrifau a'i dyddiadau dilysrwydd, cloc y system, y gorgyffwrdd amsoddiant rhwng cleient a gweinydd, ac unrhyw allwedd tls-auth neu tls-crypt. Gall cadwyn dystysgrifau fawr fethu hefyd ar MTU y llwybr cyn i unrhyw ddilysiad gwblhau, sy'n edrych fel goramser yn hytrach na gwall cryptograffig.

Trwsiwch fethiannau rheoli â gosodiadau rheoli. Ni fydd codi'r amsoddiant data nac ymlacio'r polisi dilysu data yn cwblhau ysgwyd llaw na chyrhaeddodd erioed y tu hwnt i'r gyfnewid dystysgrifau.

Gwiriwch y sianel ddata ar wahân

Unwaith y bydd'r sesiwn i fyny, cadarnhewch yr amsoddiant data a'r modd a drafodwyd, y deilliad allwedd a'r ymddygiad ail-allweddu. Yn OpenVPN, mae llinell y sianel ddata yn enwi'r amsoddiant a maint yr allwedd a gychwynnwyd mewn gwirionedd, a gall y rheini fod yn wahanol i'r amsoddiant cyntaf yn y proffil.

Yna gwiriwch beth a osododd y sesiwn. Gall PUSH_REPLY ychwanegu llwybrau, gweinydd DNS a chyfarwyddeb redirect-gateway, a gall unrhyw un ohonynt anfon traffig i le na all y rhaglen ei ddefnyddio. Ar gyfer IKEv2, y cwestiwn cyfatebol yw a yw dewiswyr y gymdeithas CHILD yn cyfateb i'r cyfeiriadau yn y llif gwirioneddol.

Mae tls-auth a tls-crypt yn perthyn i'r sianel reoli. Maent yn dilysu neu'n amgryptio'r ysgwyd llaw, ac nid ydynt yn dewis amsoddiant data'r rhaglen. Os ydych yn ychwanegu un ohonynt gan ddisgwyl newid yn llwybr y data, yr unig beth rydych wedi ei newid yw'r ysgwyd llaw.

Cysylltwch yr enwau ag IKEv2 ac OpenVPN

Mae gan IKEv2 gymdeithas ddiogelwch IKE ac un neu fwy o gymdeithasau CHILD. Mae'r gymdeithas IKE yn cario'r cyfnewidiadau rheoli; mae'r gymdeithas CHILD yn cario'r traffig gwarchodedig a'i dewiswyr. Cânt eu trafod a'u hail-allweddu ar amserlenni ar wahân, felly gall un fod yn iach tra nad yw'r llall.

Nid oes gan ESP sianel reoli ar ffurf TLS y tu mewn iddo. Y protocol rheoli yw IKE, ac ESP yw'r llwyth gwarchodedig. Mae galw ESP yn sianel ddata yn fyrnod rhydd sy'n mynd yn ddryslyd pan fyddwch yn darllen cipiad pecynnau, oherwydd mae'r cipiad yn dangos negeseuon IKE a phecynnau ESP fel protocolau gwahanol ar y wifren.

Cadwch y cysylltiad yn eglur yn eich nodiadau: sianel reoli OpenVPN ac IKE SA yw ochr y rheoli, sianel ddata OpenVPN a CHILD SA yw ochr y traffig, ac nid yw'r gweithrediadau yn gyfnewidiol hyd yn oed pan fo'r rhaniad yn edrych yn debyg.

Stopiwch newid y gosodiad anghywir

Cerddwch y llwybr i un cyfeiriad: cyfnewid rheoli, amddiffyn data, anfon ymlaen, yna datrys enwau. Stopiwch ar y cam cyntaf sy'n methu a thrwsiwch y cam hwnnw'n unig. Mae sesiwn gysylltiedig â phing sy'n gweithio i'r porth ond heb draffig rhaglen yn broblem anfon ymlaen neu ddewiswyr, nid yn broblem ysgwyd llaw.

Ysgrifennwch y dystiolaeth ar gyfer pob cam ar wahân yn y tocyn: llinell log y rheoli, y paramedrau data a drafodwyd, y llwybrau a osodwyd, ac un cais go iawn. Mae'r strwythur hwnnw'n atal gwiriad hunaniaeth sy'n gweithio rhag cael ei wanhau i drwsio problem llwybro ddiweddarach na achosodd erioed, ac mae'n atal newid amsoddiant data rhag cael ei werthu fel trwsio gwall tystysgrif.

Dogfennaeth protocol OpenVPN yw'r cyfeirnod ar gyfer y rhaniad rheoli a data; defnyddiwch hi pan fydd rhyngwyneb gwerthwr yn defnyddio geiriau gwahanol ar gyfer yr un ddwy swyddogaeth.