مراحل دست‌دادن VPN: چه اتفاقی می‌افتد پیش از آنکه ترافیک جریان یابد
دست‌دادن همتا را اثبات می‌کند و کلیدها را استخراج می‌کند و هیچ مسیری نصب نمی‌کند. هر مرحله را به ترتیب اجرا کنید و در اولین مرحله‌ای که شکست می‌خورد بایستید.
فشردن دکمه اتصال چهار کار جداگانه را آغاز می‌کند که مستقل از هم موفق یا ناموفق می‌شوند. کلاینت باید به یک شنونده برسد، بر سر اینکه همتا کیست توافق کند، کلیدها را استخراج کند و سپس یک تونل کارآمد را به بقیه سامانه تحویل دهد. بیشتر اتصال‌های ناموفق در کار اشتباه تشخیص داده می‌شوند. به همین دلیل خطای اول از تلاش سوم مهم‌تر است.
ابتدا به شنونده برسید
پیش از آنکه هر هویتی مبادله شود، کلاینت یک نام را تجزیه می‌کند، مسیری را برمی‌گزیند و انتقالی به یک درگاه باز می‌کند. دروازه اسیر که به همه چیز پاسخ می‌دهد، درگاه بسته و نام میزبان نادرست همه اینجا شکست می‌خورند و هیچ‌یک از آنها مشکل احراز هویت نیست. تغییر گذرواژه نمی‌تواند هیچ‌یک از این سه را درست کند. پیش از دست زدن به اعتبارنامه‌ها خط اول خطا را بخوانید.
پایان مهلت، رد گواهی و حساب ردشده سه خرابی متفاوت با سه بررسی متفاوت‌اند. اول دسته‌بندی کردن آنها همان چیزی است که مانع می‌شود یک مشکل شبکه به‌عنوان مشکل اعتبارنامه عیب‌یابی شود.
همتا را اثبات کنید، سپس کلیدها را استخراج کنید
هر پروتکل به راهی برای شناختن سرور مورد نظر نیاز دارد، چه با کلید عمومی پیکربندی‌شده و چه با زنجیره گواهی. ورود کاربر افزوده‌ای بر آن بررسی است، نه جایگزین آن. سروری که گذرواژه شما را می‌پذیرد هیچ چیزی درباره هویت خودش اثبات نکرده است. به همین دلیل یک راز مشترک که در کلاینت تایپ می‌شود جایگزین بررسی اینکه چه کسی پاسخ داده نیست.
سپس تبادل، کلیدهای ترافیک را از ورودی‌های خود پروتکل استخراج می‌کند و گذرواژه ورود به‌طور کلی همان کلیدی نیست که روی هر بسته مهر می‌شود. مواد هویتی بلندمدت و کلیدهای نشست کوتاه‌مدت عمر و کار متفاوتی دارند. پیش‌روی محرمانگی دقیقاً درباره همین جداسازی است.
هنگام عیب‌یابی بررسی را فعال نگه دارید، زیرا تونلی که پس از غیرفعال کردن یک بررسی متصل می‌شود چیزی را اثبات نکرده جز اینکه آن بررسی کاری انجام می‌داده است. یادداشت کنید چه چیزی را تغییر داده‌اید و پیش از آزمایش بعدی آن را برگردانید.
سه پروتکل، سه گفت‌وگو
در استقرار OpenVPN مبتنی بر TLS کانال کنترل بر سر پارامترهای امنیتی مذاکره می‌کند در حالی که کانال داده ترافیک تونل را حمل می‌کند، پس یک گزینه کانال داده و یک مشکل گواهی در جاهای متفاوتی قرار دارند. IKEv2 هر دو طرف را احراز هویت می‌کند و سپس انجمن‌های امنیتی IPsec را با عمر خودشان برقرار می‌کند. WireGuard کلیدها را از طریق تبادل مبتنی بر Noise استخراج می‌کند و ماشین حالت را عمداً کوچک نگه می‌دارد. دانستن اینکه کدام یک از این سه را اجرا می‌کنید تعیین می‌کند کدام گزارش ارزش خواندن دارد.
کلاینت‌های شبیه به هم به معنای پیام‌های قابل تعویض در زیر نیستند، و یک فیلد پیکربندی که در یک محصول وجود دارد ممکن است در دیگری همتایی نداشته باشد. کپی کردن یک پروفایل میان آنها حدس است و نه مهاجرت.
دست‌دادن چه کاری انجام نمی‌دهد
مسیرها، تجزیه نام و سیاست مقصد همه پس از آن باقی می‌مانند. یک سایت داخلی می‌تواند غیرقابل دسترس بماند چون مسیر زیرشبکه آن گم شده است، حتی اگر همتا به‌درستی احراز هویت شده و تونل بالا باشد. برخورد با آن به‌عنوان رمزنگاری ضعیف شما را به لایه اشتباه می‌فرستد و معمولاً به تغییر رمزی می‌رسد که چیزی را درست نمی‌کند.
تازه‌سازی کلید و اتصال دوباره نیز در بیشتر نمایش‌های وضعیت شبیه به هم به نظر می‌رسند و هیچ‌یک نمی‌گوید آیا در طول قطعی ترافیک عادی مسدود شده است. تنها سیاست شکست کلاینت به آن پرسش پاسخ می‌دهد، پس سیاست را بخوانید نه نماد را.
مراحل را به ترتیب بالا انجام دهید و در اولین مرحله‌ای که خطا تولید می‌کند بایستید. هر مرحله بعدی وضعیت مراحل پیشین را به ارث می‌برد، پس شکست در مرحله سوم چیزی درباره مرحله چهارم نمی‌گوید.
ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal