VPN-Steuerkanal und Datenkanal: die richtige Schicht prüfen

Der Client meldet verbunden, der Server sieht einen Peer, und die Anwendung erreicht trotzdem nichts. In diesem Moment ist die nützliche Frage nicht, welche Chiffre zu ändern ist, sondern welcher Kanal ausgefallen ist. OpenVPN benennt zwei Funktionen ausdrücklich: einen Steuerkanal, der die Sitzung aushandelt und verwaltet, und einen Datenkanal, der den geschützten Verkehr trägt. IKEv2 drückt eine verwandte Trennung über die IKE-Assoziation und die CHILD-Assoziation aus. Arbeiten Sie die Prüfungen unten der Reihe nach ab, denn eine Korrektur am Datenpfad, die auf einen Fehler im Steuerpfad angewendet wird, verschwendet ein Änderungsfenster.

Benennen Sie den Kanal, bevor Sie ihn debuggen

Die Steuerseite handelt Sicherheitsmaterial aus, authentifiziert Peers und verwaltet die Verbindung. Die Datenseite trägt den ausgewählten Verkehr, sobald der nötige Zustand besteht.

Sie scheitern unterschiedlich. Ein Steuerfehler lässt Sie meist ganz ohne nutzbare Sitzung zurück oder mit einer Sitzung, die in einer Schleife neu aushandelt. Ein Datenfehler hinterlässt eine Sitzung, die gesund aussieht, während Pakete verworfen, falsch geroutet oder mit Parametern geschützt werden, die die Gegenseite nicht akzeptiert. Die Protokollzeile, die Sie lesen, sagt Ihnen, in welchem Fall Sie sind, lesen Sie also die Bezeichnung vor dem Fehlertext.

Prüfen Sie den Steueraustausch

Bestätigen Sie, dass der Handshake abgeschlossen wird und dass beide Seiten sich über Transport, TLS-Version und Authentifizierungsmethode einig sind. OpenVPN-Protokolle drucken getrennte Zeilen für Steuerkanal und Datenkanal, und in der Steuerzeile zeigt sich eine Abweichung bei Zertifikat, TLS-Version oder tls-crypt.

Wenn der Steueraustausch scheitert, prüfen Sie den erreichbaren Port, die Zertifikatskette und ihre Gültigkeitsdaten, die Systemuhr, die Chiffren-Überschneidung zwischen Client und Server sowie jeden tls-auth- oder tls-crypt-Schlüssel. Eine große Zertifikatskette kann auch an der Pfad-MTU scheitern, bevor irgendeine Authentifizierung abgeschlossen ist, was wie ein Timeout und nicht wie ein kryptografischer Fehler aussieht.

Beheben Sie Steuerfehler mit Steuereinstellungen. Eine höhere Datenchiffre oder eine gelockerte Datenauthentifizierung schließt keinen Handshake ab, der nie über den Zertifikatsaustausch hinauskam.

Prüfen Sie den Datenkanal getrennt

Sobald die Sitzung steht, bestätigen Sie die ausgehandelte Datenchiffre und den Modus, die Schlüsselableitung und das Verhalten bei der Schlüsselerneuerung. Bei OpenVPN nennt die Datenkanal-Zeile die tatsächlich initialisierte Chiffre und Schlüsselgröße, die von der ersten Chiffre im Profil abweichen können.

Prüfen Sie dann, was die Sitzung installiert hat. Ein PUSH_REPLY kann Routen, einen DNS-Server und eine redirect-gateway-Anweisung hinzufügen, und jedes davon kann Verkehr dorthin schicken, wo die Anwendung ihn nicht nutzen kann. Bei IKEv2 lautet die entsprechende Frage, ob die Selektoren der CHILD-Assoziation zu den Adressen im tatsächlichen Fluss passen.

tls-auth und tls-crypt gehören zum Steuerkanal. Sie authentifizieren oder verschlüsseln den Handshake und wählen nicht die Datenchiffre der Anwendung. Wenn Sie eines davon in der Erwartung einer Änderung am Datenpfad hinzufügen, haben Sie nur den Handshake geändert.

Ordnen Sie die Namen IKEv2 und OpenVPN zu

IKEv2 hat eine IKE-Sicherheitsassoziation und eine oder mehrere CHILD-Assoziationen. Die IKE-Assoziation trägt die Steueraustausche; die CHILD-Assoziation trägt den geschützten Verkehr und seine Selektoren. Sie werden nach getrennten Zeitplänen ausgehandelt und mit neuen Schlüsseln versehen, sodass eine gesund sein kann, während die andere es nicht ist.

ESP hat keinen Steuerkanal im TLS-Stil in sich. Das Steuerprotokoll ist IKE, und ESP ist die geschützte Nutzlast. ESP den Datenkanal zu nennen ist eine lockere Kurzform, die verwirrend wird, wenn Sie einen Paketmitschnitt lesen, weil der Mitschnitt IKE-Nachrichten und ESP-Pakete als verschiedene Protokolle auf der Leitung zeigt.

Halten Sie die Zuordnung in Ihren Notizen ausdrücklich fest: OpenVPN-Steuerkanal und IKE SA sind die Verwaltungsseite, OpenVPN-Datenkanal und CHILD SA sind die Verkehrsseite, und die Implementierungen sind nicht austauschbar, selbst wenn die Trennung ähnlich aussieht.

Hören Sie auf, die falsche Einstellung zu ändern

Gehen Sie den Pfad in eine Richtung: Steueraustausch, Datenschutz, Weiterleitung und dann Namensauflösung. Halten Sie beim ersten Schritt an, der scheitert, und beheben Sie nur diesen Schritt. Eine verbundene Sitzung mit funktionierendem Ping zum Gateway, aber ohne Anwendungsverkehr ist ein Weiterleitungs- oder Selektorproblem, kein Handshake-Problem.

Schreiben Sie die Belege für jede Stufe getrennt ins Ticket: die Steuer-Protokollzeile, die ausgehandelten Datenparameter, die installierten Routen und eine echte Anfrage. Diese Struktur verhindert, dass eine funktionierende Identitätsprüfung geschwächt wird, um ein späteres Routingproblem zu reparieren, das sie nie verursacht hat, und sie verhindert, dass eine Änderung der Datenchiffre als Behebung eines Zertifikatsfehlers verkauft wird.

Die OpenVPN-Protokolldokumentation ist die Referenz für die Trennung von Steuer- und Datenkanal; nutzen Sie sie, wenn die Oberfläche eines Anbieters andere Wörter für dieselben zwei Funktionen verwendet.