Paŝoj de VPN-manpremo: kio okazas antaŭ ol trafiko fluas

Premi Konekti komencas kvar apartajn taskojn, kiuj sukcesas aŭ malsukcesas sendepende. La kliento devas atingi aŭskultanton, interkonsenti pri tio, kiu estas la samtavolulo, derivi ŝlosilojn kaj poste transdoni funkciantan tunelon al la resto de la sistemo. Plej multaj malsukcesaj konektoj estas diagnozitaj en la malĝusta tasko. Tial la unua eraro pli gravas ol la tria provo.

Unue atingi la aŭskultanton

Antaŭ ol ajna identeco estas interŝanĝata, la kliento solvas nomon, elektas itinero kaj malfermas transporton al pordo. Kaptita portalo, kiu respondas al ĉio, fermita pordo kaj malĝusta gastignomo ĉiuj malsukcesas ĉi tie, kaj neniu el ili estas aŭtentiga problemo. Ŝanĝi pasvorton ne povas ripari eĉ unu el la tri. Legu la unuan linion de la eraro antaŭ ol tuŝi la akreditaĵojn.

Tempolimo, malakcepto de atestilo kaj malakceptita konto estas tri malsamaj misfunkcioj kun tri malsamaj kontroloj. Unue ordigi ilin estas tio, kio malhelpas, ke retproblemo estu sencimigata kiel akreditaĵa problemo.

Pruvu la samtavolulon, poste derivu ŝlosilojn

Ĉiu protokolo bezonas manieron rekoni la celitan servilon, ĉu per agordita publika ŝlosilo ĉu per atestila ĉeno. Uzanta saluto estas aldona al tiu kontrolo, ne anstataŭaĵo por ĝi. Servilo, kiu akceptas vian pasvorton, pruvis nenion pri sia propra identeco. Tial komuna sekreto tajpita en klienton ne anstataŭas kontroladon de tio, kiu respondis.

La interŝanĝo poste derivas trafikajn ŝlosilojn el la propraj enigoj de la protokolo, kaj la salutpasvorto ĝenerale ne estas la ŝlosilo stampita sur ĉiu paketo. Longdaŭra identeca materialo kaj mallongdaŭraj sesiaj ŝlosiloj havas malsamajn vivdaŭrojn kaj malsamajn taskojn. Ĝuste pri tiu apartigo temas antaŭena sekreteco.

Lasu la kontroladon ŝaltita dum vi problemserĉas, ĉar tunelo, kiu konektiĝas post kiam vi malŝaltas kontrolon, pruvis nenion krom ke la kontrolo faris ion. Notu, kion vi ŝanĝis, kaj restarigu ĝin antaŭ la sekva testo.

Tri protokoloj, tri konversacioj

En TLS-bazita OpenVPN-starigo la stira kanalo intertraktas sekurecajn parametrojn dum la datuma kanalo portas tunelan trafikon, do datuma-kanala opcio kaj atestila problemo loĝas en malsamaj lokoj. IKEv2 aŭtentigas ambaŭ partoprenantojn kaj poste starigas IPsec-sekurecajn asociojn kun propraj vivdaŭroj. WireGuard derivas ŝlosilojn per sia Noise-bazita interŝanĝo kaj tenas la statmaŝinon intence malgranda. Scii, kiun el la tri vi funkciigas, decidas, kiun protokolon indas legi.

Similaj klientoj ne signifas interŝanĝeblajn mesaĝojn sube, kaj agorda kampo, kiu ekzistas en unu produkto, eble havas neniun pandanton en alia. Kopii profilon inter ili estas konjekto, ne migrado.

Kion la manpremo ne faras

Itineroj, nomosolvado kaj destinpolitiko ĉiuj restas poste. Interna retejo povas resti neatingebla ĉar mankas la itinero de ĝia subreto, kvankam la samtavolulo estis ĝuste aŭtentigita kaj la tunelo funkcias. Trakti tion kiel malfortan ĉifradon sendas vin serĉi en la malĝusta tavolo, kaj ĝi kutime finiĝas per ĉifra ŝanĝo, kiu riparas nenion.

Ŝlosila refreŝigo kaj rekonekto ankaŭ aspektas same en plej multaj statmontraĵoj, kaj nek unu diras al vi, ĉu ordinara trafiko estis blokita dum la interrompo. Nur la malsukcesa politiko de la kliento respondas tiun demandon, do legu la politikon anstataŭ la ikonon.

Plenumu la etapojn en la supra ordo kaj haltu ĉe la unua, kiu produktas eraron. Ĉiu posta etapo heredas la staton de la antaŭaj, do malsukceso ĉe la tria etapo diras nenion pri la kvara.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal