VPN vezérlőcsatorna és adatcsatorna: a megfelelő réteget vizsgálja

A kliens azt mondja, csatlakozva van, a szerver egy partnert lát, az alkalmazás mégsem ér el semmit. Ezen a ponton a hasznos kérdés nem az, melyik rejtjelet cserélje, hanem hogy melyik csatorna hibázott. OpenVPN két funkciót nevez meg kifejezetten: egy vezérlőcsatornát, amely tárgyal a munkamenetről és kezeli azt, és egy adatcsatornát, amely a védett forgalmat szállítja. Az IKEv2 hasonló felosztást fejez ki az IKE-társítás és a CHILD-társítás révén. Végezze el az alábbi ellenőrzéseket sorrendben, mert a vezérlési útvonal hibájára alkalmazott adatútvonal-javítás elpazarol egy változási ablakot.

Nevezze meg a csatornát, mielőtt hibakeresést végez

A vezérlési oldal tárgyal a biztonsági anyagról, hitelesíti a partnereket és kezeli a kapcsolatot. Az adatoldal a kiválasztott forgalmat szállítja, amint a szükséges állapot fennáll.

Különbözőképpen hibáznak. A vezérlési hiba általában használható munkamenet nélkül hagyja önt, vagy olyan munkamenettel, amely hurokban újratárgyal. Az adathiba olyan munkamenetet hagy maga után, amely egészségesnek látszik, miközben a csomagok eldobódnak, rossz útvonalra kerülnek, vagy olyan paraméterekkel védettek, amelyeket a túloldal nem fogad el. Az ön által olvasott naplósor megmondja, melyik esetben van, ezért olvassa el a címkét a hibaszöveg előtt.

Ellenőrizze a vezérlési cserét

Erősítse meg, hogy a kézfogás befejeződik, és hogy mindkét fél egyetért a szállításban, a TLS-verzióban és a hitelesítési módszerben. Az OpenVPN-naplók külön sorokat nyomtatnak a vezérlőcsatornához és az adatcsatornához, és a vezérlősorban jelenik meg a tanúsítvány, a TLS-verzió vagy a tls-crypt eltérése.

Ha a vezérlési csere meghiúsul, nézze meg az elérhető portot, a tanúsítványláncot és annak érvényességi dátumait, a rendszerórát, a kliens és a szerver rejtjeleinek átfedését, valamint bármilyen tls-auth vagy tls-crypt kulcsot. Egy nagy tanúsítványlánc az útvonal MTU-ján is meghiúsulhat, mielőtt bármilyen hitelesítés befejeződne, ami időtúllépésnek látszik, nem kriptográfiai hibának.

A vezérlési hibákat vezérlési beállításokkal javítsa. Az adatrejtjel emelése vagy az adathitelesítési szabályzat lazítása nem fejez be olyan kézfogást, amely soha nem jutott túl a tanúsítványcserén.

Ellenőrizze az adatcsatornát külön

Amikor a munkamenet áll, erősítse meg a kialkudott adatrejtjelet és módot, a kulcslevezetést és a kulcs-megújítás viselkedését. Az OpenVPN-ben az adatcsatorna sora a ténylegesen inicializált rejtjelet és kulcsméretet nevezi meg, amelyek eltérhetnek a profil első rejtjelétől.

Ezután vizsgálja meg, mit telepített a munkamenet. A PUSH_REPLY útvonalakat, DNS-kiszolgálót és redirect-gateway utasítást adhat hozzá, és ezek bármelyike olyan helyre küldheti a forgalmat, ahol az alkalmazás nem tudja használni. Az IKEv2 esetében az egyenértékű kérdés az, hogy a CHILD-társítás szelektorai illeszkednek-e a tényleges folyam címeihez.

A tls-auth és a tls-crypt a vezérlőcsatornához tartozik. Ezek hitelesítik vagy titkosítják a kézfogást, és nem választják ki az alkalmazás adatrejtjelét. Ha ezek egyikét hozzáadja, arra számítva, hogy az adatútvonal változik, az egyetlen dolog, amit megváltoztatott, a kézfogás.

Kapcsolja a neveket az IKEv2-höz és az OpenVPN-hez

Az IKEv2-nek van egy IKE biztonsági társítása és egy vagy több CHILD-társítása. Az IKE-társítás szállítja a vezérlési cseréket; a CHILD-társítás szállítja a védett forgalmat és annak szelektorait. Külön ütemezés szerint tárgyalják és újítják meg a kulcsokat, így az egyik egészséges lehet, miközben a másik nem.

Az ESP-nek nincs belül TLS-stílusú vezérlőcsatornája. A vezérlő protokoll az IKE, az ESP pedig a védett hasznos teher. Az ESP adatcsatornának nevezése laza rövidítés, amely zavaróvá válik csomagrögzítés olvasásakor, mert a rögzítés az IKE-üzeneteket és az ESP-csomagokat különböző protokollként mutatja a vonalon.

Tartsa a megfeleltetést egyértelműen a jegyzeteiben: az OpenVPN vezérlőcsatornája és az IKE SA a kezelési oldal, az OpenVPN adatcsatornája és a CHILD SA a forgalmi oldal, és a megvalósítások nem cserélhetők fel akkor sem, ha a felosztás hasonlónak tűnik.

Hagyja abba a rossz beállítás módosítását

Járja végig az útvonalat egy irányban: vezérlési csere, adatvédelem, továbbítás, majd névfeloldás. Álljon meg az első meghiúsuló szakasznál, és csak azt a szakaszt javítsa. Egy csatlakozott munkamenet, amelyben a ping működik az átjáró felé, de nincs alkalmazásforgalom, továbbítási vagy szelektorprobléma, nem kézfogási probléma.

Írja le a bizonyítékokat szakaszonként külön a jegybe: a vezérlési naplósort, a kialkudott adatparamétereket, a telepített útvonalakat és egy valódi kérést. Ez a szerkezet megakadályozza, hogy egy működő identitásellenőrzést meggyengítsenek egy későbbi útválasztási probléma javítása érdekében, amelyet az soha nem okozott, és megakadályozza, hogy az adatrejtjel módosítását tanúsítványhiba javításaként adják el.

Az OpenVPN protokoll dokumentációja a vezérlés és az adat szétválasztásának referenciája; használja, amikor egy szállító felülete más szavakat használ ugyanarra a két funkcióra.