Cainéal rialaithe agus cainéal sonraí VPN: seiceáil an tsraith cheart

Deir an cliant go bhfuil sé nasctha, feiceann an freastalaí piara, agus ní shroicheann an feidhmchlár rud ar bith fós. Ag an bpointe sin ní hé an cheist úsáideach cén cipher atá le hathrú, ach cén cainéal a theip. Ainmníonn OpenVPN dhá fheidhm go sainráite: cainéal rialaithe a dhéanann idirbheartú ar an seisiún agus a bhainistíonn é, agus cainéal sonraí a iompraíonn an trácht cosanta. Cuireann IKEv2 scoilteadh gaolmhar in iúl trí chomhlachas IKE agus comhlachas CHILD. Déan na seiceálacha thíos in ord, mar caitheann deisiú ar an mbealach sonraí a chuirtear i bhfeidhm ar locht sa bhealach rialaithe fuinneog athraithe amú.

Ainmnigh an cainéal sula ndéanann tú dífhabhtú air

Idirbheartaíonn an taobh rialaithe ábhar slándála, fíoraíonn sé piaraí agus bainistíonn sé an nasc. Iompraíonn an taobh sonraí an trácht roghnaithe nuair a bhíonn an riocht riachtanach ann.

Teipeann orthu ar bhealaí difriúla. Fágann locht rialaithe gan aon seisiún inúsáidte ar chor ar bith thú, nó le seisiún a dhéanann ath-idirbheartú i lúb. Fágann locht sonraí seisiún a bhíonn ag breathnú sláintiúil agus na paicéid á bhfágáil ar lár, á ndíriú go mícheart nó á gcosaint le paraiméadair nach nglacfaidh an taobh eile leo. Insíonn an líne loga atá á léamh agat cén dá chás ina bhfuil tú, mar sin léigh an lipéad roimh théacs na hearráide.

Seiceáil an t-idirmhalartú rialaithe

Deimhnigh go gcríochnaítear an chroitheadh láimhe agus go n-aontaíonn an dá thaobh ar an iompar, ar an leagan TLS agus ar an modh fíoraithe. Priontálann logaí OpenVPN línte ar leith don chainéal rialaithe agus don chainéal sonraí, agus is ar an líne rialaithe a thagann neamhréir teastais, leagain TLS nó tls-crypt chun solais.

Má theipeann ar an idirmhalartú rialaithe, féach ar an bport inrochtana, ar an slabhra teastas agus ar a dhátaí bailíochta, ar chlog an chórais, ar fhorluí na gcipher idir cliant agus freastalaí, agus ar aon eochair tls-auth nó tls-crypt. Is féidir le slabhra teastas mór teip ag MTU an bhealaigh sula gcríochnaítear aon fhíorú, rud a bhíonn ag breathnú cosúil le teasmhealladh seachas le hearráid chripteagrafach.

Deisigh lochtanna rialaithe le socruithe rialaithe. Ní chríochnóidh ardú an cipher sonraí ná maolú ar pholasaí fíoraithe sonraí croitheadh láimhe nár éirigh riamh thar an idirmhalartú teastas.

Seiceáil an cainéal sonraí ar leith

Nuair a bhíonn an seisiún suas, deimhnigh an cipher agus an modh sonraí a comhaontaíodh, díorthú na n-eochair agus an t-iompar ag athnuachan eochrach. In OpenVPN, ainmníonn líne an chainéil sonraí an cipher agus méid na heochrach a cuireadh tús leo iarbhír, agus féadfaidh siad sin a bheith difriúil ón gcéad cipher sa phróifíl.

Ansin seiceáil cad a shuiteáil an seisiún. Is féidir le PUSH_REPLY bealaí, freastalaí DNS agus treoir redirect-gateway a chur leis, agus is féidir le haon cheann acu trácht a sheoladh áit nach féidir leis an bhfeidhmchlár é a úsáid. Maidir le IKEv2, is é an cheist choibhéiseach an bhfuil roghnóirí chomhlachas CHILD ag teacht leis na seoltaí sa tsreabhadh iarbhír.

Baineann tls-auth agus tls-crypt leis an gcainéal rialaithe. Fíoraíonn nó criptíonn siad an croitheadh láimhe agus ní roghnaíonn siad cipher sonraí an fheidhmchláir. Má chuireann tú ceann acu leis ag súil le hathrú ar an mbealach sonraí, is é an t-aon rud a d'athraigh tú an croitheadh láimhe.

Ceangail na hainmneacha le IKEv2 agus OpenVPN

Tá comhlachas slándála IKE agus comhlachas CHILD amháin nó níos mó ag IKEv2. Iompraíonn comhlachas IKE na hidirmhalartuithe rialaithe; iompraíonn comhlachas CHILD an trácht cosanta agus a roghnóirí. Déantar iad a idirbheartú agus a n-eochracha a athnuachan ar sceidil ar leith, mar sin is féidir le ceann amháin a bheith sláintiúil agus an ceann eile nach bhfuil.

Níl cainéal rialaithe de stíl TLS taobh istigh de ESP. Is é IKE an prótacal rialaithe, agus is é ESP an t-ualach cosanta. Is giorrú scaoilte é ESP a thabhairt ar an gcainéal sonraí, a éiríonn mearbhallach nuair a léann tú gabháil paicéad, mar taispeánann an ghabháil teachtaireachtaí IKE agus paicéid ESP mar phrótacail éagsúla ar an sreang.

Coinnigh an mhapáil soiléir i do nótaí: is iad cainéal rialaithe OpenVPN agus IKE SA an taobh bainistíochta, is iad cainéal sonraí OpenVPN agus CHILD SA an taobh tráchta, agus ní féidir na cur i bhfeidhm a mhalartú fiú nuair a bhíonn an scoilteadh cosúil lena chéile.

Stop ag athrú an tsocraithe mhícheart

Siúil an bealach i dtreo amháin: idirmhalartú rialaithe, cosaint sonraí, seoladh ar aghaidh, ansin réiteach ainmneacha. Stop ag an gcéad chéim a theipeann agus deisigh an chéim sin amháin. Is fadhb seolta ar aghaidh nó roghnóirí é seisiún nasctha a bhfuil ping oibre chuig an gcuingeal ann ach gan trácht feidhmchláir, ní fadhb croitheadh láimhe í.

Scríobh an fhianaise do gach céim ar leith sa ticéad: líne loga an rialaithe, na paraiméadair sonraí a comhaontaíodh, na bealaí a suiteáladh agus iarratas amháin iarbhír. Cuireann an struchtúr sin cosc ar sheiceáil aitheantais atá ag obair a lagú chun fadhb ródaithe níos déanaí nár chruthaigh sí riamh a dheisiú, agus cuireann sé cosc ar athrú cipher sonraí a dhíol mar leigheas ar earráid teastais.

Is é doiciméadú phrótacal OpenVPN an tagairt don scoilteadh idir rialú agus sonraí; bain úsáid as nuair a úsáideann comhéadan díoltóra focail eile do na dhá fheidhm chéanna.