VPN-ի կառավարման և տվյալների ալիքները. ստուգեք ճիշտ շերտը

Հաճախորդն ասում է՝ միացված է, սերվերը տեսնում է զուգընկերոջ, իսկ հավելվածը դեռ ոչ մի տեղ չի հասնում։ Այդ պահին օգտակար հարցը ոչ թե այն է, թե որ գաղտնագրություն փոխենք, այլ այն, թե որ ալիքն է ձախողվել։ OpenVPN հստակ անվանում է երկու գործառույթ՝ կառավարման ալիք, որը բանակցում է սեսիայի շուրջ և կառավարում այն, և տվյալների ալիք, որը կրում է պաշտպանված երթևեկությունը։ IKEv2-ը նմանատիպ բաժանում է արտահայտում IKE միավորակցության և CHILD միավորակցության միջոցով։ Կատարեք ստորև նշված ստուգումները հերթականությամբ, որովհետև տվյալների ուղու ուղղումը, որը կիրառվում է կառավարման ուղու խափանման վրա, վատնում է փոփոխության պատուհանը։

Անվանեք ալիքը նախքան վրիպազերծումը

Կառավարման կողմը բանակցում է անվտանգության նյութի շուրջ, նույնականացնում է զուգընկերներին և կառավարում կապը։ Տվյալների կողմը կրում է ընտրված երթևեկությունը, երբ անհրաժեշտ վիճակն արդեն գոյություն ունի։

Նրանք տարբեր կերպ են ձախողվում։ Կառավարման խափանումը սովորաբար ձեզ թողնում է առանց որևէ օգտագործելի սեսիայի, կամ այնպիսի սեսիայով, որը օղակում կրկին բանակցում է։ Տվյալների խափանումը թողնում է սեսիա, որը առողջ է թվում, մինչդեռ փաթեթները դեն են նետվում, սխալ են ուղղորդվում կամ պաշտպանվում են պարամետրերով, որոնք հակառակ կողմը չի ընդունի։ Ձեր կարդացած մատյանային տողը ասում է, թե որ դեպքում եք, ուստի կարդացեք պիտակը սխալի տեքստից առաջ։

Ստուգեք կառավարման փոխանակումը

Հաստատեք, որ ձեռքսեղմումն ավարտվում է, և որ երկու կողմերը համաձայն են տրանսպորտի, TLS տարբերակի և նույնականացման մեթոդի շուրջ։ OpenVPN-ի մատյանները տպում են առանձին տողեր կառավարման ալիքի և տվյալների ալիքի համար, և հենց կառավարման տողում է երևում վկայագրի, TLS տարբերակի կամ tls-crypt-ի անհամապատասխանությունը։

Եթե կառավարման փոխանակումը ձախողվում է, նայեք հասանելի պորտին, վկայագրերի շղթային և դրա վավերականության ամսաթվերին, համակարգի ժամացույցին, հաճախորդի և սերվերի գաղտնագրությունների համընկնմանը և ցանկացած tls-auth կամ tls-crypt բանալու։ Մեծ վկայագրերի շղթան կարող է նաև ձախողվել ուղու MTU-ում նախքան որևէ նույնականացման ավարտը, ինչը նման է ժամանակի սպառման, ոչ թե գաղտնագրային սխալի։

Կառավարման խափանումները շտկեք կառավարման կարգավորումներով։ Տվյալների գաղտնագրության բարձրացումը կամ տվյալների նույնականացման քաղաքականության թուլացումը չի ավարտի ձեռքսեղմում, որը երբեք չի անցել վկայագրերի փոխանակումից։

Ստուգեք տվյալների ալիքը առանձին

Երբ սեսիան արդեն կանգնած է, հաստատեք բանակցված տվյալների գաղտնագրությունն ու ռեժիմը, բանալիների ածանցումը և բանալու նորացման վարքը։ OpenVPN-ում տվյալների ալիքի տողը նշում է փաստացի մեկնարկված գաղտնագրությունն ու բանալու չափը, և դրանք կարող են տարբերվել պրոֆիլի առաջին գաղտնագրությունից։

Ապա ստուգեք, թե ինչ է տեղադրել սեսիան։ PUSH_REPLY-ն կարող է ավելացնել երթուղիներ, DNS սերվեր և redirect-gateway հրահանգ, և դրանցից ցանկացածը կարող է երթևեկությունն ուղարկել մի տեղ, որտեղ հավելվածը չի կարող օգտագործել այն։ IKEv2-ի համար համարժեք հարցն այն է՝ արդյոք CHILD միավորակցության ընտրիչները համապատասխանում են փաստացի հոսքի հասցեներին։

tls-auth-ը և tls-crypt-ը պատկանում են կառավարման ալիքին։ Դրանք նույնականացնում կամ գաղտնագրում են ձեռքսեղմումը և չեն ընտրում հավելվածի տվյալների գաղտնագրությունը։ Եթե ավելացնեք դրանցից մեկը՝ սպասելով տվյալների ուղու փոփոխության, ապա միակ բանը, որ փոխել եք, ձեռքսեղմումն է։

Կապեք անվանումները IKEv2-ի և OpenVPN-ի հետ

IKEv2-ն ունի IKE անվտանգության միավորակցություն և մեկ կամ ավելի CHILD միավորակցություններ։ IKE միավորակցությունը կրում է կառավարման փոխանակումները, իսկ CHILD միավորակցությունը՝ պաշտպանված երթևեկությունը և դրա ընտրիչները։ Դրանք բանակցվում և բանալիները նորացվում են առանձին ժամանակացույցերով, ուստի մեկը կարող է առողջ լինել, մինչդեռ մյուսը՝ ոչ։

ESP-ն իր ներսում TLS ոճի կառավարման ալիք չունի։ Կառավարման արձանագրությունը IKE-ն է, իսկ ESP-ն պաշտպանված բեռն է։ ESP-ն տվյալների ալիք անվանելը թույլ համառոտում է, որը շփոթեցնող է դառնում փաթեթների գրառումը կարդալիս, որովհետև գրառումը ցույց է տալիս IKE հաղորդագրությունները և ESP փաթեթները որպես տարբեր արձանագրություններ գծի վրա։

Ձեր գրառումներում համապատասխանությունը պահեք հստակ՝ OpenVPN-ի կառավարման ալիքը և IKE SA-ն կառավարման կողմն են, OpenVPN-ի տվյալների ալիքը և CHILD SA-ն երթևեկության կողմն են, և իրականացումները փոխանակելի չեն, նույնիսկ երբ բաժանումը նման է թվում։

Դադարեք փոխել սխալ կարգավորումը

Անցեք ուղին մեկ ուղղությամբ՝ կառավարման փոխանակում, տվյալների պաշտպանություն, փոխանցում, ապա անունների լուծում։ Կանգ առեք առաջին ձախողվող փուլում և ուղղեք միայն այդ փուլը։ Միացված սեսիան, որտեղ դարպասին ping-ը աշխատում է, բայց հավելվածի երթևեկություն չկա, փոխանցման կամ ընտրիչների խնդիր է, ոչ ձեռքսեղմման խնդիր։

Յուրաքանչյուր փուլի ապացույցը գրեք առանձին տոմսում՝ կառավարման մատյանային տողը, բանակցված տվյալների պարամետրերը, տեղադրված երթուղիները և մեկ իրական հարցում։ Այդ կառուցվածքը թույլ չի տալիս թուլացնել աշխատող ինքնության ստուգումը՝ ուշ երթուղային խնդիր շտկելու համար, որը նա երբեք չի առաջացրել, և թույլ չի տալիս տվյալների գաղտնագրության փոփոխությունը վաճառել որպես վկայագրի սխալի լուծում։

OpenVPN արձանագրության փաստաթղթերը կառավարման և տվյալների բաժանման հղումն են, ուստի օգտագործեք դրանք, երբ մատակարարի միջերեսը նույն երկու գործառույթների համար այլ բառեր է օգտագործում։