VPN:n ohjauskanava ja datakanava: tarkista oikea kerros

Asiakas sanoo olevansa yhdistetty, palvelin näkee vastapuolen, eikä sovellus silti tavoita mitään. Siinä kohdassa hyödyllinen kysymys ei ole, mitä salakirjoitusta vaihtaa, vaan mikä kanava petti. OpenVPN nimeää kaksi toimintoa selvästi: ohjauskanavan, joka neuvottelee istunnosta ja hallitsee sitä, ja datakanavan, joka kuljettaa suojatun liikenteen. IKEv2 ilmaisee vastaavan jaon IKE-liitoksen ja CHILD-liitoksen kautta. Tee alla olevat tarkistukset järjestyksessä, sillä ohjauspolun vikaan sovellettu datapolun korjaus tuhlaa muutosikkunan.

Nimeä kanava ennen kuin alat selvittää sitä

Ohjauspuoli neuvottelee turvamateriaalista, todentaa vastapuolet ja hallitsee yhteyttä. Datapuoli kuljettaa valitun liikenteen, kun tarvittava tila on olemassa.

Ne epäonnistuvat eri tavoin. Ohjausvika jättää sinut yleensä kokonaan ilman käyttökelpoista istuntoa tai istuntoon, joka neuvottelee uudelleen silmukassa. Datavika jättää istunnon, joka näyttää terveeltä, kun paketteja pudotetaan, ohjataan väärin tai suojataan parametreilla, joita vastapuoli ei hyväksy. Lukemasi lokirivi kertoo, kummassa tilanteessa olet, joten lue tunniste ennen virhetekstiä.

Tarkista ohjausvaihto

Varmista, että kättely suoritetaan loppuun ja että molemmat osapuolet ovat yhtä mieltä kuljetuksesta, TLS-versiosta ja todennusmenetelmästä. OpenVPN:n lokit tulostavat erilliset ohjauskanavan ja datakanavan rivit, ja juuri ohjausrivillä näkyy varmennetta, TLS-versiota tai tls-cryptia koskeva ristiriita.

Jos ohjausvaihto epäonnistuu, katso tavoitettavissa olevaa porttia, varmenneketjua ja sen voimassaolopäiviä, järjestelmän kelloa, asiakkaan ja palvelimen salakirjoitusten päällekkäisyyttä sekä mahdollista tls-auth- tai tls-crypt-avainta. Suuri varmenneketju voi myös epäonnistua polun MTU:ssa ennen kuin mikään todennus ehtii valmistua, mikä näyttää aikakatkaisulta eikä salakirjoitusvirheeltä.

Korjaa ohjausviat ohjausasetuksilla. Datasalauksen nostaminen tai datan todennuskäytännön löysentäminen ei saa valmiiksi kättelyä, joka ei koskaan päässyt varmenteiden vaihdon ohi.

Tarkista datakanava erikseen

Kun istunto on pystyssä, varmista neuvoteltu datasalaus ja -tila, avainten johtaminen ja avaimen uusimisen käyttäytyminen. OpenVPN:ssä datakanavan rivi kertoo salauksen ja avaimen koon, jotka todella alustettiin, ja ne voivat poiketa profiilin ensimmäisestä salauksesta.

Tarkista sitten, mitä istunto asensi. PUSH_REPLY voi lisätä reittejä, DNS-palvelimen ja redirect-gateway-direktiivin, ja mikä tahansa niistä voi lähettää liikennettä sinne, missä sovellus ei voi käyttää sitä. IKEv2:n kohdalla vastaava kysymys on, vastaavatko CHILD-liitoksen valitsimet todellisen vuon osoitteita.

tls-auth ja tls-crypt kuuluvat ohjauskanavaan. Ne todentavat tai salaavat kättelyn eivätkä valitse sovelluksen datasalausta. Jos lisäät toisen niistä odottaen datapolun muutosta, olet muuttanut vain kättelyä.

Yhdistä nimet IKEv2:een ja OpenVPN:ään

IKEv2:lla on IKE-turvaliitos ja yksi tai useampi CHILD-liitos. IKE-liitos kuljettaa ohjausvaihdot; CHILD-liitos kuljettaa suojatun liikenteen ja sen valitsimet. Ne neuvotellaan ja niiden avaimet uusitaan erillisillä aikatauluilla, joten toinen voi olla terve, kun toinen ei ole.

ESP:ssä ei ole sisällään TLS-tyylistä ohjauskanavaa. Ohjausprotokolla on IKE, ja ESP on suojattu hyötykuorma. ESP:n nimittäminen datakanavaksi on löysä lyhenne, joka muuttuu hämmentäväksi pakettikaappausta lukiessa, koska kaappaus näyttää IKE-viestit ja ESP-paketit eri protokollina johdolla.

Pidä vastaavuus selvästi muistiinpanoissasi: OpenVPN:n ohjauskanava ja IKE SA ovat hallintapuoli, OpenVPN:n datakanava ja CHILD SA ovat liikennepuoli, eivätkä toteutukset ole vaihdettavissa, vaikka jako näyttää samanlaiselta.

Lopeta väärän asetuksen muuttaminen

Kulje polku yhteen suuntaan: ohjausvaihto, datan suojaus, välitys ja sitten nimien ratkaisu. Pysähdy ensimmäiseen vaiheeseen, joka epäonnistuu, ja korjaa vain se vaihe. Yhdistetty istunto, jossa ping yhdyskäytävään toimii mutta sovellusliikennettä ei ole, on välityksen tai valitsimien ongelma, ei kättelyn ongelma.

Kirjoita kunkin vaiheen todisteet erikseen tikettiin: ohjauksen lokirivi, neuvotellut dataparametrit, asennetut reitit ja yksi todellinen pyyntö. Tämä rakenne estää toimivan henkilöllisyystarkistuksen heikentämisen myöhemmän reititysongelman korjaamiseksi, jota se ei koskaan aiheuttanut, ja estää datasalauksen muutoksen myymisen varmennevirheen korjauksena.

OpenVPN-protokollan dokumentaatio on ohjauksen ja datan jaon lähde; käytä sitä, kun toimittajan käyttöliittymä käyttää eri sanoja samoista kahdesta toiminnosta.