Langkah jabat tangan VPN: apa yang terjadi sebelum lalu lintas mengalir

Menekan Sambungkan memulai empat pekerjaan terpisah yang berhasil atau gagal secara independen. Klien harus mencapai pendengar, menyepakati siapa rekannya, menurunkan kunci, lalu menyerahkan terowongan yang berfungsi ke bagian sistem lainnya. Sebagian besar koneksi yang gagal didiagnosis pada pekerjaan yang salah. Karena itu galat pertama lebih penting daripada percobaan ketiga.

Capai pendengar lebih dulu

Sebelum identitas apa pun dipertukarkan, klien menyelesaikan nama, memilih rute, dan membuka transport ke sebuah porta. Portal kaptif yang menjawab segalanya, porta tertutup, dan nama host yang salah semuanya gagal di sini, dan tidak satu pun merupakan masalah autentikasi. Mengubah kata sandi tidak dapat memperbaiki ketiganya. Bacalah baris pertama galat sebelum menyentuh kredensial.

Batas waktu, penolakan sertifikat, dan akun yang ditolak adalah tiga gangguan berbeda dengan tiga pemeriksaan berbeda. Menyortirnya lebih dulu itulah yang mencegah masalah jaringan didebug sebagai masalah kredensial.

Buktikan rekan, lalu turunkan kunci

Setiap protokol memerlukan cara untuk mengenali server yang dimaksud, baik melalui kunci publik yang dikonfigurasi maupun rantai sertifikat. Login pengguna adalah tambahan pada pemeriksaan itu, bukan penggantinya. Server yang menerima kata sandi Anda tidak membuktikan apa pun tentang identitasnya sendiri. Karena itu rahasia bersama yang diketik di klien bukan pengganti verifikasi siapa yang menjawab.

Pertukaran kemudian menurunkan kunci lalu lintas dari masukan protokol itu sendiri, dan kata sandi login umumnya bukan kunci yang dicap pada setiap paket. Materi identitas jangka panjang dan kunci sesi jangka pendek memiliki masa hidup dan tugas yang berbeda. Pemisahan itulah yang dimaksud kerahasiaan ke depan.

Biarkan verifikasi tetap aktif saat memecahkan masalah, karena terowongan yang tersambung setelah Anda menonaktifkan pemeriksaan tidak membuktikan apa pun kecuali bahwa pemeriksaan itu melakukan sesuatu. Catat apa yang Anda ubah, dan kembalikan sebelum uji berikutnya.

Tiga protokol, tiga percakapan

Dalam penerapan OpenVPN berbasis TLS, kanal kendali menegosiasikan parameter keamanan sementara kanal data membawa lalu lintas terowongan, sehingga opsi kanal data dan masalah sertifikat berada di tempat berbeda. IKEv2 mengautentikasi kedua peserta lalu membangun asosiasi keamanan IPsec dengan masa hidupnya sendiri. WireGuard menurunkan kunci melalui pertukarannya berbasis Noise dan menjaga mesin status tetap kecil dengan sengaja. Mengetahui mana dari ketiganya yang Anda jalankan menentukan log mana yang layak dibaca.

Klien yang tampak serupa tidak berarti pesannya dapat dipertukarkan di baliknya, dan bidang konfigurasi yang ada di satu produk mungkin tidak punya padanan di produk lain. Menyalin profil di antaranya adalah dugaan, bukan migrasi.

Apa yang tidak dilakukan jabat tangan

Rute, resolusi nama, dan kebijakan tujuan semuanya tetap ada sesudahnya. Situs internal bisa tetap tak terjangkau karena rute subnya hilang, meskipun rekan telah diautentikasi dengan benar dan terowongan menyala. Menganggapnya sebagai enkripsi lemah mengirim Anda mencari di lapisan yang salah, dan biasanya berakhir dengan perubahan cipher yang tidak memperbaiki apa pun.

Penyegaran kunci dan penyambungan ulang juga tampak serupa di sebagian besar tampilan status, dan keduanya tidak memberi tahu apakah lalu lintas biasa terblokir selama gangguan. Hanya kebijakan kegagalan klien yang menjawab pertanyaan itu, jadi bacalah kebijakannya, bukan ikonnya.

Kerjakan tahapannya dalam urutan di atas dan berhenti pada tahap pertama yang menghasilkan galat. Setiap tahap berikutnya mewarisi status tahap sebelumnya, jadi kegagalan pada tahap ketiga tidak mengatakan apa pun tentang tahap keempat.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal