VPN-kättelyn vaiheet: mitä tapahtuu ennen kuin liikenne virtaa

Yhdistä-painikkeen painaminen käynnistää neljä erillistä tehtävää, jotka onnistuvat tai epäonnistuvat toisistaan riippumatta. Asiakkaan on saavutettava kuuntelija, sovittava kuka vastapuoli on, johdettava avaimet ja sitten luovutettava toimiva tunneli järjestelmän muulle osalle. Useimmat epäonnistuneet yhteydet diagnosoidaan väärässä tehtävässä. Siksi ensimmäinen virhe on tärkeämpi kuin kolmas yritys.

Saavuta ensin kuuntelija

Ennen kuin mitään identiteettiä vaihdetaan, asiakas selvittää nimen, valitsee reitin ja avaa siirtoyhteyden porttiin. Kaikkeen vastaava captive-portaali, suljettu portti ja väärä isäntänimi epäonnistuvat kaikki tässä, eikä mikään niistä ole todennusongelma. Salasanan vaihtaminen ei korjaa yhtäkään kolmesta. Lue virheen ensimmäinen rivi ennen kuin kosket tunnistetietoihin.

Aikakatkaisu, varmenteen hylkäys ja hylätty tili ovat kolme eri vikaa kolmella eri tarkistuksella. Niiden lajittelu ensin on se, mikä estää verkkoyhtymän selvittämisen tunnistetieto-ongelmana.

Todista vastapuoli ja johda sitten avaimet

Jokainen protokolla tarvitsee tavan tunnistaa aiottu palvelin, joko määritetyn julkisen avaimen tai varmenneketjun kautta. Käyttäjän kirjautuminen on lisä tähän tarkistukseen, ei sen korvike. Palvelin, joka hyväksyy salasanasi, ei ole todistanut mitään omasta identiteetistään. Siksi asiakkaaseen kirjoitettu yhteinen salaisuus ei korvaa sen tarkistamista, kuka vastasi.

Vaihto johtaa sitten liikenneavaimet protokollan omista syötteistä, eikä kirjautumissalasana yleensä ole avain, joka leimataan jokaiseen pakettiin. Pitkäaikaisella identiteettimateriaalilla ja lyhytaikaisilla istuntoavaimilla on eri eliniät ja eri tehtävät. Juuri tästä erottelusta eteenpäin suuntautuvassa salauksessa on kyse.

Pidä tarkistus käytössä vianetsinnän ajan, koska tunneli, joka yhdistää sen jälkeen kun poistit tarkistuksen käytöstä, ei ole todistanut muuta kuin että tarkistus teki jotain. Kirjaa, mitä muutit, ja palauta se ennen seuraavaa testiä.

Kolme protokollaa, kolme keskustelua

TLS-pohjaisessa OpenVPN-käyttöönotossa ohjauskanava neuvottelee turvaparametrit, kun taas datakanava kuljettaa tunnelin liikennettä, joten datakanavan asetus ja varmenneongelma sijaitsevat eri paikoissa. IKEv2 todentaa molemmat osapuolet ja perustaa sitten omat elinikänsä omaavat IPsec-turvayhtymät. WireGuard johtaa avaimet Noise-pohjaisen vaihtonsa kautta ja pitää tilakoneen tarkoituksella pienenä. Tieto siitä, mitä kolmesta ajat, ratkaisee, mitä lokia kannattaa lukea.

Samannäköiset asiakkaat eivät tarkoita keskenään vaihdettavia viestejä alla, eikä yhdessä tuotteessa olevalla asetuskentällä välttämättä ole vastinetta toisessa. Profiilin kopioiminen niiden välillä on arvaus, ei migraatio.

Mitä kättely ei tee

Reitit, nimien selvitys ja kohdepolitiikka jäävät kaikki sen jälkeen. Sisäinen sivusto voi jäädä tavoittamattomaksi, koska sen aliverkon reitti puuttuu, vaikka vastapuoli todennettiin oikein ja tunneli on pystyssä. Sen käsitteleminen heikkona salauksena lähettää sinut etsimään väärästä kerroksesta, ja se päättyy yleensä salauksen muutokseen, joka ei korjaa mitään.

Avainten uusiminen ja uudelleenyhdistäminen näyttävät myös samanlaisilta useimmissa tilanäytöissä, eikä kumpikaan kerro, estettiinkö tavallinen liikenne katkoksen aikana. Vain asiakkaan vikapolitiikka vastaa tähän kysymykseen, joten lue politiikka äläkä kuvaketta.

Työstä vaiheet yllä olevassa järjestyksessä ja pysähdy ensimmäiseen, joka tuottaa virheen. Jokainen myöhempi vaihe perii aiempien tilan, joten kolmannen vaiheen vika ei kerro mitään neljännestä.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal