VPN-kontrôle kanaal tsjin datakanaal: kontrolearje de juste laach

De klant seit ferbûn, de server sjocht in partner, en de applikaasje berikt noch altyd neat. Op dat punt is de nuttige fraach net hokker sifer te feroarjen, mar hokker kanaal mislearre. OpenVPN neamt twa funksjes eksplisyt: in kontrôle kanaal dat de sesje ûnderhannelt en beheart, en in datakanaal dat it beskerme ferkear draacht. IKEv2 sprekt in besibbe split út troch de IKE-feriening en de CHILD-feriening. Wurkje de kontrôles hjirûnder yn oarder ôf, want in reparaasje fan it datapaad tapast op in flater yn it kontrôlepaad fergriemt in feroaringsfinster.

Namt it kanaal foardat jo it debugge

De kontrôlekant ûnderhannelt feiligensmateriaal, ferifiearret partners en beheart de ferbining. De datakant draacht it keazen ferkear sadree't de nedige steat bestiet.

Se mislearje oars. In kontrôleflater lit jo meastentiids hielendal sûnder brûkbere sesje, of mei in sesje dy't yn in lus opnij ûnderhannelt. In dataflater lit in sesje efter dy't sûn liket wylst pakketten ôfwiisd, ferkeard rûte of beskerme wurde mei parameters dy't de oare kant net akseptearret. De logrigel dy't jo lêze fertelt yn hokker fan de twa jo binne, dat lês it label foar de flatertekst.

Kontrolearje de kontrôle-útwikseling

Befêstigje dat de hânskud foltôge wurdt en dat beide kanten it iens binne oer it ferfier, de TLS-ferzje en de ferifikaasjemetoade. OpenVPN-logs printsje aparte rigels foar it kontrôle kanaal en it datakanaal, en it is yn 'e kontrôlerigel dat in ôfwiking fan sertifikaat, TLS-ferzje of tls-crypt ferskynt.

As de kontrôle-útwikseling mislearret, sjoch dan nei de berikbere poarte, de sertifikaatkeatling en syn jildichheidsdatums, de systeemklok, de oerlaap fan sifers tusken klant en server en elke tls-auth- of tls-crypt-kaai. In grutte sertifikaatkeatling kin ek mislearje op 'e MTU fan it paad foardat hokker ferifikaasje dan ek foltôge is, wat as in tiidferrin liket en net as in kryptografyske flater.

Reparearje kontrôleflaters mei kontrôle-ynstellingen. It ferheegjen fan 'e datasifer of it fersêftsjen fan it dataferifikaasjebelied foltôget gjin hânskud dat nea foarby de sertifikaat-útwikseling kaam.

Kontrolearje it datakanaal apart

As de sesje stiet, befêstigje de ûnderhannele datasifer en -modus, de kaai-ôflieding en it gedrach by kaai-fernijing. By OpenVPN neamt de datakanaalrigel de sifer en kaai-grutte dy't eins initialisearre binne, en dy kinne ferskille fan 'e earste sifer yn it profyl.

Kontrolearje dan wat de sesje ynstallearre hat. In PUSH_REPLY kin rûtes, in DNS-server en in redirect-gateway-direktive tafoegje, en elk dêrfan kin ferkear stjoere nei in plak dêr't de applikaasje it net brûke kin. Foar IKEv2 is de lykweardige fraach oft de selektors fan 'e CHILD-feriening passe by de adressen yn 'e werklike stream.

tls-auth en tls-crypt hearre by it kontrôle kanaal. Se ferifiearje of fersiferje it hânskud en se kieze net de datasifer fan 'e applikaasje. As jo ien fan beide tafoegje yn 'e ferwachting fan in feroaring oan it datapaad, is it iennige dat jo feroare hawwe it hânskud.

Keppelje de nammen oan IKEv2 en OpenVPN

IKEv2 hat in IKE-feiligensferiening en ien of mear CHILD-ferienings. De IKE-feriening draacht de kontrôle-útwikselings; de CHILD-feriening draacht it beskerme ferkear en syn selektors. Se wurde ûnderhannele en har kaaien fernijd neffens aparte skema's, dat de iene kin sûn wêze wylst de oare dat net is.

ESP hat gjin kontrôle kanaal yn TLS-styl yn him. It kontrôleprotokol is IKE, en ESP is de beskerme lading. ESP it datakanaal neame is in losse ôfkoarting dy't betiizjend wurdt as jo in pakketopname lêze, want de opname lit IKE-berjochten en ESP-pakketten as ferskillende protokollen op 'e tried sjen.

Hâld de keppeling eksplisyt yn jo notysjes: OpenVPN-kontrôle kanaal en IKE SA binne de beheirkant, OpenVPN-datakanaal en CHILD SA binne de ferkearskant, en de ymplemintaasjes binne net útwikselber sels as de split itselde liket.

Stopje mei it feroarjen fan 'e ferkearde ynstelling

Rin it paad yn ien rjochting: kontrôle-útwikseling, databeskerming, trochstjoering, dan namme-oplossing. Stop by de earste stap dy't mislearret en reparearje allinnich dy stap. In ferbûne sesje mei in wurkjende ping nei de gateway mar sûnder applikaasjeferkear is in trochstjoerings- of selektorprobleem, gjin hânskudprobleem.

Skriuw it bewiis foar elke stap apart yn it ticket: de kontrôle-logrigel, de ûnderhannele dataparamaters, de ynstallearre rûtes en ien echte oanfraach. Dy struktuer foarket dat in wurkjende identiteitskontrôle ferswakke wurdt om in letter rûteprobleem te reparearjen dat it nea feroarsake hat, en it foarket dat in feroaring fan 'e datasifer ferkocht wurdt as in reparaasje fan in sertifikaatflater.

De OpenVPN-protokol-dokumintaasje is de referinsje foar de split fan kontrôle en data; brûk it as de ynterface fan in leveransier oare wurden brûkt foar deselde twa funksjes.