VPN juhtkanal ja andmekanal: kontrollige õiget kihti

Klient ütleb, et on ühendatud, server näeb partnerit, ja rakendus ei jõua ikkagi kuhugi. Sel hetkel ei ole kasulik küsimus, millist šifrit muuta, vaid see, milline kanal ebaõnnestus. OpenVPN nimetab kaks funktsiooni selgelt: juhtkanal, mis läbiräägib sessiooni ja haldab seda, ning andmekanal, mis kannab kaitstud liiklust. IKEv2 väljendab sarnast jaotust IKE-assotsiatsiooni ja CHILD-assotsiatsiooni kaudu. Tehke allolevad kontrollid järjekorras, sest juhtteel esinevale tõrkele rakendatud andmetee parandus raiskab muudatusakna.

Nimetage kanal enne silumist

Juhtimise pool läbiräägib turvamaterjali, autentib partnereid ja haldab ühendust. Andmete pool kannab valitud liiklust, kui vajalik olek on olemas.

Nad ebaõnnestuvad erinevalt. Juhtimistõrge jätab teid tavaliselt täiesti kasutatava sessioonita või siis tsüklis uuesti läbirääkiva sessiooniga. Andmetõrge jätab sessiooni, mis näib terve, samal ajal kui paketid jäetakse kõrvale, suunatakse valesti või kaitstakse parameetritega, mida vastaspool ei aktsepteeri. Logirida, mida loete, ütleb, kummas olukorras olete, seega lugege silt enne vea teksti.

Kontrollige juhtimisvahetust

Kinnitage, et käepigistus lõpeb ja et mõlemad pooled on üksmeelel transpordi, TLS-i versiooni ja autentimismeetodi osas. OpenVPN-i logid trükivad eraldi juhtkanali ja andmekanali read ning just juhtimisreal ilmneb sertifikaadi, TLS-i versiooni või tls-crypti lahknevus.

Kui juhtimisvahetus ebaõnnestub, vaadake kättesaadavat porti, sertifikaadiahelat ja selle kehtivuskuupäevi, süsteemi kella, kliendi ja serveri šifrite kattuvust ning mis tahes tls-auth või tls-crypt võtit. Suur sertifikaadiahel võib samuti ebaõnnestuda tee MTU juures enne, kui ükskõik milline autentimine lõpeb, mis näib ajapiiranguna, mitte krüptograafilise veana.

Parandage juhtimistõrkeid juhtimisseadetega. Andmešifri tõstmine või andmete autentimispoliitika lõdvendamine ei lõpeta käepigistust, mis ei jõudnud kunagi sertifikaadivahetusest kaugemale.

Kontrollige andmekanali eraldi

Kui sessioon on püsti, kinnitage läbiräägitud andmešifrit ja -režiimi, võtme tuletamist ja võtme uuendamise käitumist. OpenVPN-is nimetab andmekanali rida šifrit ja võtme suurust, mis tegelikult algatati, ja need võivad erineda profiili esimesest šifrist.

Seejärel kontrollige, mida sessioon paigaldas. PUSH_REPLY võib lisada marsruute, DNS-serveri ja redirect-gateway direktiivi, ja ükskõik milline neist võib saata liiklust sinna, kus rakendus ei saa seda kasutada. IKEv2 puhul on samaväärne küsimus, kas CHILD-assotsiatsiooni selektorid vastavad tegeliku voo aadressidele.

tls-auth ja tls-crypt kuuluvad juhtkanali juurde. Need autendivad või krüpteerivad käepigistust ega vali rakenduse andmešifrit. Kui lisate ühe neist oodates andmetee muutust, olete muutnud ainult käepigistust.

Seostage nimed IKEv2 ja OpenVPN-iga

IKEv2-l on IKE turbeseos ja üks või mitu CHILD-assotsiatsiooni. IKE-assotsiatsioon kannab juhtimisvahetusi; CHILD-assotsiatsioon kannab kaitstud liiklust ja selle selektoreid. Neid läbiräägitakse ja nende võtmeid uuendatakse eraldi ajakavade järgi, seega üks võib olla terve, samal ajal kui teine ei ole.

ESP-l ei ole sees TLS-i stiilis juhtkanalit. Juhtprotokoll on IKE ja ESP on kaitstud kasulik koorem. ESP nimetamine andmekanaliks on lõtv lühend, mis muutub segadust tekitavaks paketisalvestust lugedes, sest salvestus näitab IKE-sõnumeid ja ESP-pakette juhtmel erinevate protokollidena.

Hoidke vastavus oma märkmetes selgena: OpenVPN-i juhtkanal ja IKE SA on halduspool, OpenVPN-i andmekanal ja CHILD SA on liikluspool, ning teostused ei ole vahetatavad ka siis, kui jaotus näib sarnane.

Lõpetage vale seade muutmine

Käige tee läbi ühes suunas: juhtimisvahetus, andmekaitse, edastamine ja seejärel nimede lahendamine. Peatuge esimesel etapil, mis ebaõnnestub, ja parandage ainult seda etappi. Ühendatud sessioon, kus ping lüüsini töötab, kuid rakenduse liiklust ei ole, on edastamise või selektorite probleem, mitte käepigistuse probleem.

Kirjutage tõendid iga etapi kohta eraldi pileti sisse: juhtimislogi rida, läbiräägitud andmeparameetrid, paigaldatud marsruudid ja üks tegelik päring. See struktuur hoiab ära töötava identiteedikontrolli nõrgestamise hilisema marsruutimisprobleemi parandamiseks, mida see kunagi ei põhjustanud, ja hoiab ära andmešifri muudatuse müümise sertifikaadivea parandusena.

OpenVPN-i protokolli dokumentatsioon on juhtimise ja andmete jaotuse võrdlusallikas; kasutage seda, kui müüja liides kasutab samade kahe funktsiooni jaoks teisi sõnu.