Βήματα χειραψίας VPN: τι συμβαίνει πριν ρεύσει η κίνηση

Το πάτημα του Σύνδεση ξεκινά τέσσερις ξεχωριστές εργασίες που πετυχαίνουν ή αποτυγχάνουν ανεξάρτητα. Ο πελάτης πρέπει να φτάσει σε έναν ακροατή, να συμφωνήσει ποιος είναι ο ομότιμος, να παράγει κλειδιά και μετά να παραδώσει ένα λειτουργικό τούνελ στο υπόλοιπο σύστημα. Οι περισσότερες αποτυχημένες συνδέσεις διαγιγνώσκονται στη λάθος εργασία. Γι’ αυτό το πρώτο σφάλμα μετράει περισσότερο από την τρίτη επανάληψη.

Φτάστε πρώτα στον ακροατή

Πριν ανταλλαχθεί οποιαδήποτε ταυτότητα, ο πελάτης επιλύει ένα όνομα, επιλέγει διαδρομή και ανοίγει μεταφορά σε μια θύρα. Μια αιχμάλωτη πύλη που απαντά σε όλα, μια κλειστή θύρα και ένα λάθος όνομα κεντρικού υπολογιστή αποτυγχάνουν όλα εδώ, και κανένα από αυτά δεν είναι πρόβλημα ταυτοποίησης. Η αλλαγή κωδικού δεν μπορεί να διορθώσει κανένα από τα τρία. Διαβάστε την πρώτη γραμμή του σφάλματος πριν αγγίξετε τα διαπιστευτήρια.

Ένα χρονικό όριο, μια απόρριψη πιστοποιητικού και ένας απορριφθείς λογαριασμός είναι τρία διαφορετικά σφάλματα με τρεις διαφορετικούς ελέγχους. Η πρώτη ταξινόμησή τους είναι αυτό που εμποδίζει ένα πρόβλημα δικτύου να αποσφαλματωθεί ως πρόβλημα διαπιστευτηρίων.

Αποδείξτε τον ομότιμο και μετά παράγετε κλειδιά

Κάθε πρωτόκολλο χρειάζεται τρόπο να αναγνωρίζει τον προοριζόμενο διακομιστή, είτε μέσω διαμορφωμένου δημόσιου κλειδιού είτε μέσω αλυσίδας πιστοποιητικών. Η σύνδεση χρήστη είναι επιπλέον αυτού του ελέγχου, όχι αντικατάστασή του. Ένας διακομιστής που δέχεται τον κωδικό σας δεν έχει αποδείξει τίποτα για τη δική του ταυτότητα. Γι’ αυτό ένα κοινό μυστικό που πληκτρολογείται σε έναν πελάτη δεν υποκαθιστά την επαλήθευση του ποιος απάντησε.

Η ανταλλαγή στη συνέχεια παράγει κλειδιά κίνησης από τις ίδιες τις εισόδους του πρωτοκόλλου, και ο κωδικός σύνδεσης γενικά δεν είναι το κλειδί που σφραγίζεται σε κάθε πακέτο. Το μακροπρόθεσμο υλικό ταυτότητας και τα βραχύβια κλειδιά συνεδρίας έχουν διαφορετικές διάρκειες ζωής και διαφορετικές δουλειές. Αυτός ο διαχωρισμός είναι το νόημα της εμπρόσθιας μυστικότητας.

Κρατήστε την επαλήθευση ενεργή όσο αντιμετωπίζετε προβλήματα, γιατί ένα τούνελ που συνδέεται αφού απενεργοποιήσετε έναν έλεγχο δεν έχει αποδείξει τίποτα παρά μόνο ότι ο έλεγχος έκανε κάτι. Σημειώστε τι αλλάξατε και επαναφέρετέ το πριν από την επόμενη δοκιμή.

Τρία πρωτόκολλα, τρεις συνομιλίες

Σε μια εγκατάσταση OpenVPN βασισμένη σε TLS το κανάλι ελέγχου διαπραγματεύεται παραμέτρους ασφαλείας ενώ το κανάλι δεδομένων μεταφέρει την κίνηση του τούνελ, οπότε μια επιλογή καναλιού δεδομένων και ένα πρόβλημα πιστοποιητικού ζουν σε διαφορετικά σημεία. Το IKEv2 ταυτοποιεί και τους δύο συμμετέχοντες και μετά δημιουργεί συσχετίσεις ασφαλείας IPsec με δικές τους διάρκειες ζωής. Το WireGuard παράγει κλειδιά μέσω της ανταλλαγής του βασισμένης στο Noise και κρατά τη μηχανή καταστάσεων σκόπιμα μικρή. Το να ξέρετε ποιο από τα τρία τρέχετε καθορίζει ποιο αρχείο καταγραφής αξίζει ανάγνωση.

Πελάτες που μοιάζουν δεν σημαίνουν ανταλλάξιμα μηνύματα από κάτω, και ένα πεδίο διαμόρφωσης που υπάρχει σε ένα προϊόν μπορεί να μην έχει αντίστοιχο σε άλλο. Η αντιγραφή προφίλ μεταξύ τους είναι εικασία και όχι μετανάστευση.

Τι δεν κάνει η χειραψία

Διαδρομές, επίλυση ονομάτων και πολιτική προορισμού παραμένουν όλα μετά. Ένας εσωτερικός ιστότοπος μπορεί να μείνει απρόσιτος επειδή λείπει η διαδρομή του υποδικτύου του, ακόμη και αν ο ομότιμος ταυτοποιήθηκε σωστά και το τούνελ είναι ενεργό. Το να το αντιμετωπίσετε ως αδύναμη κρυπτογράφηση σας στέλνει να ψάξετε στο λάθος επίπεδο, και συνήθως τελειώνει με αλλαγή κρυπτογράφησης που δεν διορθώνει τίποτα.

Η ανανέωση κλειδιών και η επανασύνδεση μοιάζουν επίσης στις περισσότερες ενδείξεις κατάστασης, και καμία από τις δύο δεν σας λέει αν μπλοκαρίστηκε η συνηθισμένη κίνηση κατά τη διακοπή. Μόνο η πολιτική αποτυχίας του πελάτη απαντά σε αυτό το ερώτημα, οπότε διαβάστε την πολιτική και όχι το εικονίδιο.

Δουλέψτε τα στάδια με την παραπάνω σειρά και σταματήστε στο πρώτο που παράγει σφάλμα. Κάθε επόμενο στάδιο κληρονομεί την κατάσταση των προηγούμενων, οπότε μια αποτυχία στο τρίτο στάδιο δεν λέει τίποτα για το τέταρτο.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal