VPN-i käepigistuse etapid: mis juhtub enne, kui liiklus hakkab liikuma
Käepigistus tõestab partnerit ja tuletab võtmed ning ei paigalda ühtegi marsruuti. Tehke iga etapp järjekorras läbi ja peatuge esimese juures, mis ebaõnnestub.
Ühenda nupule vajutamine käivitab neli eraldi tööd, mis õnnestuvad või ebaõnnestuvad sõltumatult. Klient peab jõudma kuulajani, kokku leppima, kes on partner, tuletama võtmed ja seejärel andma töötava tunneli üle süsteemi ülejäänud osale. Enamik ebaõnnestunud ühendusi diagnoositakse vales töös. Seetõttu on esimene viga tähtsam kui kolmas katse.
Jõudke esmalt kuulajani
Enne mis tahes identiteedi vahetamist lahendab klient nime, valib marsruudi ja avab transpordi pordini. Kõigile vastav vangistatud portaal, suletud port ja vale hostinimi ebaõnnestuvad siin ning ükski neist ei ole autentimise probleem. Parooli muutmine ei paranda ühtegi neist kolmest. Lugege vea esimest rida enne, kui puudutate mandaate.
Aegumine, sertifikaadi tagasilükkamine ja tagasilükatud konto on kolm erinevat riket kolme erineva kontrolliga. Nende esmalt sorteerimine hoiab ära selle, et võrguprobleemi silutakse mandaadiprobleemina.
Tõestage partner, seejärel tuletage võtmed
Iga protokoll vajab viisi kavandatud serveri äratundmiseks, olgu siis konfigureeritud avaliku võtme või sertifikaadiahela kaudu. Kasutaja sisselogimine on sellele kontrollile lisaks, mitte selle asendaja. Server, mis aktsepteerib teie parooli, ei ole oma identiteedi kohta midagi tõestanud. Seetõttu ei asenda kliendile trükitud ühine saladus kontrolli selle üle, kes vastas.
Seejärel tuletab vahetus liiklusvõtmed protokolli enda sisenditest ning sisselogimisparool ei ole üldiselt võti, mis igale paketile tembeldatakse. Pikaajaline identiteedimaterjal ja lühiajalised sessioonivõtmed on erineva eluea ja erinevate ülesannetega. Just sellest eraldamisest räägib edasisuunaline salastatus.
Hoidke kontrollimine tõrkeotsingu ajal sees, sest tunnel, mis ühendub pärast kontrolli väljalülitamist, ei ole tõestanud midagi muud kui seda, et kontroll tegi midagi. Märkige üles, mida muutsite, ja taastage see enne järgmist katset.
Kolm protokolli, kolm vestlust
TLS-il põhinevas OpenVPN juurutusas peab juhtkanal läbirääkimisi turbeparameetrite üle, samal ajal kui andmekanal kannab tunneli liiklust, nii et andmekanali valik ja sertifikaadiprobleem asuvad erinevates kohtades. IKEv2 autendib mõlemad osalejad ja loob seejärel IPsec-i turbeseosed oma elueaga. WireGuard tuletab võtmed oma Noise-põhise vahetuse kaudu ja hoiab olekumasina teadlikult väikesena. Teadmine, millist kolmest te kasutate, otsustab, millist logi tasub lugeda.
Sarnaselt näivad kliendid ei tähenda altpoolt vahetatavaid sõnumeid ning ühes tootes oleval konfiguratsiooniväljal ei pruugi teises vaste olla. Profiili nende vahel kopeerimine on oletus, mitte migreerimine.
Mida käepigistus ei tee
Marsruudid, nimelahendus ja sihtkoha poliitika jäävad kõik pärast alles. Siseveebisait võib jääda kättesaamatuks, sest selle alamvõrgu marsruut puudub, kuigi partner autenditi õigesti ja tunnel töötab. Selle nõrga krüpteerimisena käsitlemine saadab teid otsima valest kihist ning see lõpeb tavaliselt šifri muutmisega, mis ei paranda midagi.
Võtmete värskendamine ja uuesti ühendamine näevad enamikus olekunäidikutes samuti sarnased välja ning kumbki ei ütle, kas katkestuse ajal blokeeriti tavaline liiklus. Sellele küsimusele vastab ainult kliendi tõrkepoliitika, seega lugege poliitikat, mitte ikooni.
Tehke etapid ülaltoodud järjekorras ja peatuge esimese juures, mis tekitab vea. Iga järgnev etapp pärib eelnevate oleku, seega kolmanda etapi tõrge ei ütle neljanda kohta midagi.
ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal