VPN नियंत्रण चैनल बनाम डेटा चैनल: सही परत जाँचें

क्लाइंट कहता है जुड़ा है, सर्वर एक सहकर्मी देखता है, और ऐप अब भी कहीं नहीं पहुँचता। उस समय काम का सवाल यह नहीं है कि कौन-सा साइफर बदलें, बल्कि यह है कि कौन-सा चैनल विफल हुआ। OpenVPN दो कार्यों को स्पष्ट रूप से नाम देता है: एक नियंत्रण चैनल जो सत्र पर बातचीत करता है और उसे प्रबंधित करता है, और एक डेटा चैनल जो संरक्षित ट्रैफिक ढोता है। IKEv2 इसी तरह का विभाजन IKE संगठन और CHILD संगठन के ज़रिए व्यक्त करता है। नीचे दी गई जाँचें क्रम से करें, क्योंकि नियंत्रण मार्ग की खराबी पर डेटा मार्ग का सुधार लागू करना बदलाव की खिड़की बर्बाद करता है।

डिबग करने से पहले चैनल का नाम लें

नियंत्रण पक्ष सुरक्षा सामग्री पर बातचीत करता है, सहकर्मियों को प्रमाणित करता है और कनेक्शन प्रबंधित करता है। डेटा पक्ष आवश्यक स्थिति बनने के बाद चुना गया ट्रैफिक ढोता है।

वे अलग तरह से विफल होते हैं। नियंत्रण विफलता आमतौर पर आपको किसी भी उपयोगी सत्र के बिना छोड़ देती है, या ऐसे सत्र के साथ जो लूप में फिर से बातचीत करता है। डेटा विफलता ऐसा सत्र छोड़ती है जो स्वस्थ दिखता है जबकि पैकेट छोड़े जाते हैं, गलत मार्ग पर भेजे जाते हैं, या ऐसे पैरामीटर से सुरक्षित होते हैं जिन्हें सामने वाला पक्ष स्वीकार नहीं करेगा। आप जो लॉग पंक्ति पढ़ रहे हैं वह बताती है कि आप किस स्थिति में हैं, इसलिए त्रुटि के पाठ से पहले लेबल पढ़ें।

नियंत्रण विनिमय जाँचें

पुष्टि करें कि हैंडशेक पूरा होता है और दोनों पक्ष परिवहन, TLS संस्करण और प्रमाणीकरण विधि पर सहमत हैं। OpenVPN लॉग नियंत्रण चैनल और डेटा चैनल की अलग पंक्तियाँ छापते हैं, और नियंत्रण पंक्ति में ही प्रमाणपत्र, TLS संस्करण या tls-crypt की असंगति दिखती है।

अगर नियंत्रण विनिमय विफल हो, तो पहुँचने योग्य पोर्ट, प्रमाणपत्र श्रृंखला और उसकी वैधता तिथियाँ, सिस्टम घड़ी, क्लाइंट और सर्वर के बीच साइफर का अतिव्यापन, और कोई भी tls-auth या tls-crypt कुंजी देखें। बड़ी प्रमाणपत्र श्रृंखला किसी भी प्रमाणीकरण के पूरा होने से पहले मार्ग के MTU पर भी विफल हो सकती है, जो समय-सीमा जैसा दिखता है, क्रिप्टोग्राफ़िक त्रुटि जैसा नहीं।

नियंत्रण खराबियों को नियंत्रण सेटिंग्स से ठीक करें। डेटा साइफर बढ़ाना या डेटा प्रमाणीकरण नीति ढीली करना ऐसा हैंडशेक पूरा नहीं करेगा जो कभी प्रमाणपत्र विनिमय से आगे नहीं बढ़ा।

डेटा चैनल अलग से जाँचें

सत्र चालू होने पर सहमत डेटा साइफर और मोड, कुंजी व्युत्पत्ति और कुंजी नवीनीकरण का व्यवहार जाँचें। OpenVPN में, डेटा चैनल की पंक्ति वास्तव में आरंभ किए गए साइफर और कुंजी आकार का नाम बताती है, और वे प्रोफ़ाइल के पहले साइफर से अलग हो सकते हैं।

फिर जाँचें कि सत्र ने क्या स्थापित किया। PUSH_REPLY मार्ग, एक DNS सर्वर और redirect-gateway निर्देश जोड़ सकता है, और इनमें से कोई भी ट्रैफिक ऐसी जगह भेज सकता है जहाँ ऐप उसका उपयोग नहीं कर सकता। IKEv2 के लिए समतुल्य सवाल यह है कि CHILD संगठन के चयनकर्ता वास्तविक प्रवाह के पतों से मेल खाते हैं या नहीं।

tls-auth और tls-crypt नियंत्रण चैनल के हैं। वे हैंडशेक को प्रमाणित या एन्क्रिप्ट करते हैं और ऐप का डेटा साइफर नहीं चुनते। अगर आप डेटा मार्ग में बदलाव की उम्मीद में इनमें से एक जोड़ते हैं, तो आपने केवल हैंडशेक बदला है।

नामों को IKEv2 और OpenVPN से जोड़ें

IKEv2 में एक IKE सुरक्षा संगठन और एक या अधिक CHILD संगठन होते हैं। IKE संगठन नियंत्रण विनिमय ढोता है; CHILD संगठन संरक्षित ट्रैफिक और उसके चयनकर्ता ढोता है। इन पर अलग-अलग समय-सारणियों पर बातचीत होती है और कुंजियाँ नवीनीकृत होती हैं, इसलिए एक स्वस्थ हो सकता है जबकि दूसरा नहीं।

ESP के भीतर TLS शैली का नियंत्रण चैनल नहीं है। नियंत्रण प्रोटोकॉल IKE है, और ESP संरक्षित पेलोड है। ESP को डेटा चैनल कहना एक ढीला संक्षेप है जो पैकेट कैप्चर पढ़ते समय भ्रमित करने वाला हो जाता है, क्योंकि कैप्चर तार पर IKE संदेशों और ESP पैकेटों को अलग प्रोटोकॉल के रूप में दिखाता है।

अपने नोट्स में यह मिलान स्पष्ट रखें: OpenVPN नियंत्रण चैनल और IKE SA प्रबंधन पक्ष हैं, OpenVPN डेटा चैनल और CHILD SA ट्रैफिक पक्ष हैं, और विभाजन समान दिखने पर भी कार्यान्वयन विनिमेय नहीं हैं।

गलत सेटिंग बदलना बंद करें

मार्ग पर एक ही दिशा में चलें: नियंत्रण विनिमय, डेटा सुरक्षा, अग्रेषण, फिर नाम विश्लेषण। पहले विफल चरण पर रुकें और केवल उसी चरण को ठीक करें। गेटवे तक काम करने वाला पिंग होने पर भी ऐप ट्रैफिक के बिना जुड़ा सत्र अग्रेषण या चयनकर्ता की समस्या है, हैंडशेक की समस्या नहीं।

हर चरण के साक्ष्य टिकट में अलग-अलग लिखें: नियंत्रण लॉग पंक्ति, सहमत डेटा पैरामीटर, स्थापित मार्ग और एक वास्तविक अनुरोध। यह ढाँचा काम कर रहे पहचान जाँच को कमज़ोर करके उस बाद की रूटिंग समस्या को ठीक करने से रोकता है जो उसने कभी पैदा नहीं की, और डेटा साइफर बदलाव को प्रमाणपत्र त्रुटि का समाधान बताकर बेचने से भी रोकता है।

OpenVPN प्रोटोकॉल दस्तावेज़ नियंत्रण और डेटा के विभाजन का संदर्भ है; इसका उपयोग तब करें जब विक्रेता का इंटरफ़ेस इन्हीं दो कार्यों के लिए दूसरे शब्द प्रयोग करता हो।