VPN kontrol-kanala eta datu-kanala: egiaztatu geruza egokia

Bezeroak konektatuta dio, zerbitzariak pare bat ikusten du, eta aplikazioak oraindik ez du inora iristen. Une horretan galdera erabilgarria ez da zein zifratze aldatu, baizik eta zein kanalek huts egin zuen. OpenVPN tresnak bi funtzio izendatzen ditu argi eta garbi: saioa negoziatzen eta kudeatzen duen kontrol-kanala, eta trafiko babestua garraiatzen duen datu-kanala. IKEv2 tresnak antzeko banaketa adierazten du IKE elkartearen eta CHILD elkartearen bidez. Egin beheko egiaztapenak ordenan, kontrol-bidearen hutsegite bati aplikatutako datu-bidearen konponketak aldaketa-leiho bat alferrik galtzen baitu.

Izenda ezazu kanala araztu aurretik

Kontrol-aldeak segurtasun-materiala negoziatzen du, pareak autentifikatzen ditu eta konexioa kudeatzen du. Datu-aldeak hautatutako trafikoa garraiatzen du beharrezko egoera sortu ondoren.

Modu desberdinean huts egiten dute. Kontrol-hutsegiteak normalean erabilgarri den saiorik gabe uzten zaitu, edo begiztan berriro negoziatzen duen saio batekin. Datu-hutsegiteak osasuntsu dirudien saioa uzten du, bitartean paketeak baztertzen, oker bideratzen edo beste aldeak onartuko ez dituen parametroekin babesten direla. Irakurtzen ari zaren erregistro-lerroak esaten dizu zein egoeratan zauden, beraz, irakurri etiketa errore-testua baino lehen.

Egiaztatu kontrol-trukea

Egiaztatu esku-ematea osatzen dela eta bi aldeak bat datozela garraioan, TLS bertsioan eta autentifikazio-metodoan. OpenVPN erregistroek kontrol-kanalaren eta datu-kanalaren lerro bereiziak inprimatzen dituzte, eta kontrol-lerroan agertzen da ziurtagiri, TLS bertsio edo tls-crypt desadostasuna.

Kontrol-trukeak huts egiten badu, begiratu irisgarri den portua, ziurtagiri-katea eta haren baliotasun-datak, sistemaren erlojua, bezeroaren eta zerbitzariaren arteko zifratzeen gainjartzea eta edozein tls-auth edo tls-crypt gako. Ziurtagiri-kate handi batek bidearen MTUn huts egin dezake autentifikazioren bat osatu aurretik, eta hori denbora-muga bat bezala ikusten da, ez errore kriptografiko bat bezala.

Konpondu kontrol-hutsegiteak kontrol-ezarpenekin. Datu-zifratzea igotzeak edo datuen autentifikazio-politika lasaitzeak ez du ziurtagiri-trukea inoiz gainditu ez zuen esku-ematerik osatuko.

Egiaztatu datu-kanala bereizita

Saioa martxan dagoenean, egiaztatu negoziatutako datu-zifratzea eta modua, gakoen eratorpena eta gakoa berritzeko portaera. OpenVPNn, datu-kanalaren lerroak benetan hasieratu ziren zifratzea eta gako-tamaina adierazten ditu, eta horiek profileko lehen zifratzearen desberdinak izan daitezke.

Ondoren egiaztatu saioak zer instalatu zuen. PUSH_REPLY batek ibilbideak, DNS zerbitzari bat eta redirect-gateway direktiba gehi ditzake, eta horietako edozeinek trafikoa aplikazioak erabili ezin duen lekura bidal dezake. IKEv2rentzat, baliokidea den galdera CHILD elkartearen hautatzaileak benetako fluxuko helbideekin bat datozen ala ez da.

tls-auth eta tls-crypt kontrol-kanalari dagozkio. Esku-ematea autentifikatu edo zifratzen dute, eta ez dute aplikazioaren datu-zifratzea hautatzen. Horietako bat gehitzen baduzu datu-bidean aldaketa espero izanez, aldatu duzun gauza bakarra esku-ematea da.

Lotu izenak IKEv2 eta OpenVPNrekin

IKEv2k IKE segurtasun-elkarte bat eta CHILD elkarte bat edo gehiago ditu. IKE elkarteak kontrol-trukeak garraiatzen ditu; CHILD elkarteak trafiko babestua eta haren hautatzaileak garraiatzen ditu. Egutegi bereizietan negoziatzen eta gakoak berritzen dira, beraz, bat osasuntsu egon daiteke bestea ez dagoen bitartean.

ESPk ez du barrunbean TLS estiloko kontrol-kanalik. Kontrol-protokoloa IKE da, eta ESP karga babestua da. ESP datu-kanala deitzea laburdiera lasaia da, eta nahasgarri bihurtzen da pakete-kaptura bat irakurtzean, kapturak IKE mezuak eta ESP paketeak kablean protokolo desberdin gisa erakusten baititu.

Eduki lotura argi zure oharretan: OpenVPN kontrol-kanala eta IKE SA kudeaketa-aldea dira, OpenVPN datu-kanala eta CHILD SA trafiko-aldea dira, eta inplementazioak ez dira trukagarriak banaketa antzekoa dirudienean ere.

Utzi ezarpen okerra aldatzen

Ibilbidea norabide bakarrean egin: kontrol-trukea, datuen babesa, birbidaltzea eta gero izenen ebazpena. Gelditu huts egiten duen lehen etapa eta konpondu etapa hori soilik. Atebidera ping egiten duen baina aplikazioaren trafikorik ez duen saio konektatua birbidaltze edo hautatzaileen arazoa da, ez esku-ematearen arazoa.

Idatzi etapa bakoitzaren froga bereizita txartelean: kontrol-erregistroaren lerroa, negoziatutako datu-parametroak, instalatutako ibilbideak eta benetako eskaera bat. Egitura horrek eragozten du funtzionatzen duen identitate-egiaztapen bat ahultzea inoiz eragin ez zuen geroagoko bideratze-arazo bat konpontzeko, eta eragozten du datu-zifratzearen aldaketa ziurtagiri-errore baten konponketa gisa saltzea.

OpenVPN protokoloaren dokumentazioa da kontrolaren eta datuen banaketaren erreferentzia; erabili ezazu saltzaile baten interfazeak bi funtzio berberentzat beste hitz batzuk erabiltzen dituenean.