VPN-regada kanalo kontraŭ datuma kanalo: kontrolu la ĝustan tavolon

La kliento diras konektita, la servilo vidas kunulon, kaj la aplikaĵo tamen atingas nenion. En tiu punkto la utila demando ne estas, kiun ĉifron ŝanĝi, sed kiu kanalo malsukcesis. OpenVPN eksplicite nomas du funkciojn: regadan kanalon, kiu intertraktas kaj administras la seancon, kaj datuman kanalon, kiu portas la protektitan trafikon. IKEv2 esprimas similan dividon per la IKE-asocio kaj la CHILD-asocio. Plenumu la subajn kontrolojn laŭorde, ĉar riparo de la datuma vojo aplikita al fuŝo en la regada vojo malŝparas ŝanĝan fenestron.

Nomu la kanalon antaŭ ol sencimigi ĝin

La regada flanko intertraktas sekurecan materialon, aŭtentikigas kunulojn kaj administras la konekton. La datuma flanko portas la elektitan trafikon, kiam ekzistas la bezonata stato.

Ili malsukcesas malsame. Regada fuŝo kutime lasas vin tute sen uzebla seanco, aŭ kun seanco, kiu reintertraktas en buklo. Datuma fuŝo lasas seancecon, kiu aspektas sana dum pakaĵoj estas forĵetataj, misenitaj aŭ protektataj per parametroj, kiujn la alia flanko ne akceptos. La protokola linio, kiun vi legas, diras al vi, en kiu kazo vi estas, do legu la etikedon antaŭ la erarteksto.

Kontrolu la regadan interŝanĝon

Konfirmu, ke la manpremo kompletiĝas kaj ke ambaŭ flankoj konsentas pri la transporto, la TLS-versio kaj la aŭtentikiga metodo. OpenVPN-protokoloj presas apartajn liniojn por la regada kanalo kaj la datuma kanalo, kaj en la regada linio aperas malkongruo de atestilo, TLS-versio aŭ tls-crypt.

Se la regada interŝanĝo malsukcesas, rigardu la atingeblan pordon, la atestilan ĉenon kaj ĝiajn validajn datojn, la sistemhorloĝon, la ĉifran koincidon inter kliento kaj servilo, kaj ajnan tls-auth aŭ tls-crypt ŝlosilon. Granda atestila ĉeno ankaŭ povas malsukcesi ĉe la voja MTU antaŭ ol iu ajn aŭtentikigo kompletiĝas, kio aspektas kiel tempolimo, ne kiel kriptografia eraro.

Riparu regadajn fuŝojn per regadaj agordoj. Pliigi la datuman ĉifron aŭ malstreĉi la datuman aŭtentikigan politikon ne kompletigos manpremon, kiu neniam pasis la atestilan interŝanĝon.

Kontrolu la datuman kanalon aparte

Post kiam la seanco staras, konfirmu la intertraktitajn datuman ĉifron kaj reĝimon, la ŝlosilderivadon kaj la konduton ĉe ŝlosila renovigo. En OpenVPN, la datuma kanala linio nomas la ĉifron kaj ŝlosilgrandon, kiuj efektive estis inicializitaj, kaj tiuj povas diferenci de la unua ĉifro en la profilo.

Poste kontrolu, kion la seanco instalas. PUSH_REPLY povas aldoni itinerojn, DNS-servilon kaj redirect-gateway-direktivon, kaj iu ajn el tiuj povas sendi trafikon tien, kie la aplikaĵo ne povas uzi ĝin. Por IKEv2, la ekvivalenta demando estas, ĉu la selektiloj de la CHILD-asocio kongruas kun la adresoj en la reala fluo.

tls-auth kaj tls-crypt apartenas al la regada kanalo. Ili aŭtentikigas aŭ ĉifras la manpremon, kaj ili ne elektas la datuman ĉifron de la aplikaĵo. Se vi aldonas unu el ili esperante ŝanĝon en la datuma vojo, la sola afero, kiun vi ŝanĝis, estas la manpremo.

Mapu la nomojn al IKEv2 kaj OpenVPN

IKEv2 havas IKE-sekurecan asocieton kaj unu aŭ plurajn CHILD-asociojn. La IKE-asocio portas la regadajn interŝanĝojn; la CHILD-asocio portas la protektitan trafikon kaj ĝiajn selektilojn. Ili intertraktiĝas kaj ŝlosil-renoviĝas laŭ apartaj horaroj, do unu povas esti sana dum la alia ne estas.

ESP ne havas interne regadan kanalon laŭ TLS-stilo. La regada protokolo estas IKE, kaj ESP estas la protektita utilŝarĝo. Nomi ESP la datuman kanalon estas loza mallongigo, kiu fariĝas konfuza kiam vi legas pakaĵkapton, ĉar la kapto montras IKE-mesaĝojn kaj ESP-pakaĵojn kiel malsamajn protokolojn sur la drato.

Tenu la mapadon eksplicita en viaj notoj: OpenVPN-regada kanalo kaj IKE SA estas la administra flanko, OpenVPN-datuma kanalo kaj CHILD SA estas la trafika flanko, kaj la realigoj ne estas interŝanĝeblaj eĉ kiam la divido aspektas simila.

Ĉesu ŝanĝi la malĝustan agordon

Trairu la vojon en unu direkto: regada interŝanĝo, datuma protekto, plusendo, poste nomresolvo. Haltu ĉe la unua etapo, kiu malsukcesas, kaj riparu nur tiun etapon. Konektita seanco kun funkcianta ping al la enkursigilo sed sen aplikaĵa trafiko estas plusenda aŭ selektila problemo, ne manprema problemo.

Skribu la pruvojn por ĉiu etapo aparte en la bileton: la regadan protokolan linion, la intertraktitajn datumajn parametrojn, la instalitajn itinerojn kaj unu realan peton. Tiu strukturo malhelpas, ke funkcianta identec-kontrolo malfortiĝu por ripari postan itinerean problemon, kiun ĝi neniam kaŭzis, kaj ĝi malhelpas, ke ŝanĝo de la datuma ĉifro estu vendata kiel riparo de atestila eraro.

La dokumentaro de la OpenVPN-protokolo estas la referenco por la divido inter regado kaj datumoj; uzu ĝin, kiam la fasado de vendisto uzas aliajn vortojn por la samaj du funkcioj.