Stjórnrás og gagnarás VPN: athugaðu rétt lag

Biðlarinn segist tengdur, þjónninn sér jafningja, og forritið nær samt hvergi. Á þeim punkti er gagnlega spurningin ekki hvaða dulritun eigi að skipta, heldur hvaða rás brást. OpenVPN nefnir tvær aðgerðir berum orðum: stjórnrás sem semur um lotuna og stýrir henni, og gagnarás sem ber verndaða umferð. IKEv2 lýsir sams konar skiptingu með IKE-samtenginu og CHILD-samtenginu. Farðu í gegnum prófanirnar hér að neðan í réttri röð, því lagfæring á gagnaleið sem beitt er á bilun í stjórnleið sóar breytingaglugga.

Nefndu rásina áður en þú kembir hana

Stjórnunarhliðin semur um öryggisefni, auðkennir jafningja og stýrir tengingunni. Gagnahliðin ber valda umferðina þegar nauðsynlegt ástand er til staðar.

Þær bregðast á mismunandi vegu. Stjórnunarbilun skilur þig venjulega eftir án nokkurrar nothæfrar lotu, eða með lotu sem semur að nýju í lykkju. Gagnabilun skilur eftir lotu sem lítur heilbrigð út á meðan pökkum er hent, beint á rangan stað eða verndað með færibreytum sem hin hliðin tekur ekki við. Lokið sem þú lest segir þér hvort tilvikanna á við, svo lestu merkið áður en villutextann.

Athugaðu stjórnskiptin

Staðfestu að handabandið klárist og að báðar hliðar séu sammála um flutninginn, TLS-útgáfuna og auðkenningaraðferðina. OpenVPN-skrár prenta aðskildar línur fyrir stjórnrás og gagnarás, og á stjórnlínunni birtist misræmi í skírteini, TLS-útgáfu eða tls-crypt.

Ef stjórnskiptin bregðast, skoðaðu aðgengilega gátt, skírteinakeðjuna og gildisdaga hennar, kerfisklukkuna, skörun dulritana milli biðlara og þjóns og hvaða tls-auth eða tls-crypt lykil sem er. Stór skírteinakeðja getur líka brugðist á MTU leiðarinnar áður en nokkur auðkenning klárast, sem lítur út eins og tímamörk en ekki dulritunarvilla.

Lagaðu stjórnunarbilanir með stjórnunarstillingum. Hækkun gagnaduls eða væging auðkenningarstefnu gagna klárar ekki handaband sem komst aldrei fram hjá skírteinaskiptunum.

Athugaðu gagnarásina sérstaklega

Þegar lotan er komin upp skaltu staðfesta samningsbundna gagnaduls og -ham, lykilafleiðsluna og hegðunina við lykilendurnýjun. Í OpenVPN nefnir lína gagnarásarinnar dulritunina og lykilstærðina sem raunverulega voru frumstilltar, og þær geta verið frábrugðnar fyrstu dulrituninni í sniðinu.

Athugaðu síðan hvað lotan setti upp. PUSH_REPLY getur bætt við leiðum, DNS-þjóni og redirect-gateway-fyrirmælum, og hvert þeirra getur sent umferð þangað sem forritið getur ekki notað hana. Fyrir IKEv2 er samsvarandi spurning hvort valar CHILD-samtengisins passi við heimilisföngin í raunstreyminu.

tls-auth og tls-crypt tilheyra stjórnrásinni. Þau auðkenna eða dulkóða handabandið og velja ekki gagnadul forritsins. Ef þú bætir öðru þeirra við í von um breytingu á gagnaleiðinni hefurðu aðeins breytt handabandinu.

Tengdu nöfnin við IKEv2 og OpenVPN

IKEv2 hefur IKE-öryggissamtengi og eitt eða fleiri CHILD-samtengi. IKE-samtengið ber stjórnskiptin; CHILD-samtengið ber verndaða umferðina og vala þess. Semja skal um þau og endurnýja lykla á aðskildum áætlunum, svo annað getur verið heilbrigt á meðan hitt er það ekki.

ESP hefur ekki innra stjórnrás í TLS-stíl. Stjórnunarprotokollið er IKE, og ESP er verndaða hleðslan. Að kalla ESP gagnarásina er laus skammstöfun sem verður ruglingsleg þegar pakkaskráning er lesin, því skráningin sýnir IKE-skilaboð og ESP-pakka sem ólík protokoll á línunni.

Haltu vörpuninni skýrri í minnispunktunum þínum: OpenVPN-stjórnrás og IKE SA eru stjórnunarhliðin, OpenVPN-gagnarás og CHILD SA eru umferðarhliðin, og útfærslurnar eru ekki skiptanlegar þótt skiptingin líti svipað út.

Hættu að breyta röngu stillingunni

Gakktu leiðina í eina átt: stjórnskipti, gagnavörn, áframsending og svo nafnaleysing. Stoppaðu á fyrsta stiginu sem bregst og lagaðu aðeins það stig. Tenging sem er uppi með ping sem virkar að gáttinni en án umferðar frá forritinu er vandamál í áframsendingu eða völum, ekki handabandsvandamál.

Skrifaðu sönnunargögnin fyrir hvert stig sérstaklega í miðann: stjórnlínu skrárinnar, samningsbundnar gagnafæribreytur, uppsettar leiðir og eina raunverulega beiðni. Þessi uppbygging kemur í veg fyrir að virk auðkenningarprófun sé veikt til að laga seinna leiðarvandamál sem hún olli aldrei, og hún kemur í veg fyrir að breyting á gagnaduli sé seld sem lagfæring á skírteinisvillu.

Skjöl OpenVPN-protokollsins eru viðmiðið fyrir skiptinguna milli stjórnunar og gagna; notaðu þau þegar viðmót seljanda notar önnur orð fyrir sömu tvær aðgerðirnar.