Skref VPN-handabands: hvað gerist áður en umferð streymir

Að ýta á Tengja ræsir fjögur aðskilin verk sem takast eða mistakast óháð. Biðlarinn verður að ná í hlustanda, semja um hver jafninginn er, leiða út lykla og afhenda síðan vinnandi göng til afgangs kerfisins. Flest misheppnuð tenging eru greind í röngu verki. Þess vegna skiptir fyrsta villan meira máli en þriðja tilraunin.

Náðu fyrst í hlustandann

Áður en nokkur auðkenni eru skipt, leysir biðlarinn nafn, velur leið og opnar flutning á port. Fangaportal sem svarar öllu, lokað port og rangt hýsilnafn mistakast öll hér, og ekkert þeirra er vandamál í auðkenningu. Að breyta lykilorði getur ekki lagað neitt af þessum þremur. Lestu fyrstu línu villunnar áður en þú snertir skilríkin.

Tímamörk, höfnun vottorðs og höfnuð reikningur eru þrjár ólíkar bilanir með þremur ólíkum athugunum. Að flokka þær fyrst er það sem kemur í veg fyrir að netvandamál sé leyst sem skilríkjavandamál.

Sannaðu jafningjann og leiddu síðan út lykla

Hver samskiptaregla þarf leið til að þekkja ætlaða þjóninn, annaðhvort með stilltum opinberum lykli eða vottorðakeðju. Innskráning notanda er viðbót við þá athugun, ekki staðgengill hennar. Þjónn sem tekur við lykilorðinu þínu hefur ekkert sannað um eigin auðkenni. Þess vegna er sameiginlegt leyndarmál sem slegið er inn í biðlara ekki staðgengill fyrir að sannreyna hver svaraði.

Skiptin leiða síðan út umferðarlykla úr eigin inntaki samskiptareglnanna, og innskráningarlykilorðið er yfirleitt ekki lykillinn sem stimplaður er á hverja pakka. Langtíma auðkennisefni og skammtíma setulyklar hafa ólíkan líftíma og ólík verk. Það er þessi aðgreining sem framtíðarleynd snýst um.

Hafðu sannprófunina virka meðan þú kembir, því göng sem tengjast eftir að þú slekkur á athugun hafa ekkert sannað nema að athugunin var að gera eitthvað. Skráðu hvað þú breyttir og settu það til baka fyrir næstu prófun.

Þrjár samskiptareglur, þrjú samtöl

Í OpenVPN uppsetningu á TLS grunni semur stjórnrásin um öryggisfæribreytur á meðan gagnarásin ber umferð ganganna, svo gagnarásarvalkostur og vottorðsvandamál búa á ólíkum stöðum. IKEv2 auðkennir báða þátttakendur og stofnar síðan IPsec öryggissambönd með eigin líftíma. WireGuard leiðir út lykla í gegnum Noise-grundað skipti og heldur stöðuvélinni viljandi lítilli. Að vita hverju af þremur þú keyrir ræður því hvaða annáll er þess virði að lesa.

Svipaðir biðlarar þýða ekki að skilaboðin undir séu skiptanleg, og stillingarreitur sem er í einni vöru hefur kannski ekki hliðstæðu í annarri. Að afrita sniðmát á milli þeirra er ágiskun, ekki flutningur.

Hvað handabandið gerir ekki

Leiðir, nafnupplausn og áfangastefna standa öll eftir. Innra svæði getur orðið óaðgengilegt því leið undirnetsins vantar, jafnvel þótt jafninginn hafi verið auðkenndur rétt og göngin séu í gangi. Að líta á það sem veika dulritun sendir þig að leita í röngu lagi, og það endar venjulega með dulritunarskiptum sem laga ekkert.

Endurnýjun lykla og endurtenging líta líka eins út í flestum stöðuskjám, og hvort tveggja segir ekki hvort venjuleg umferð var lokuð meðan á trufluninni stóð. Aðeins bilunastefna biðlarans svarar þeirri spurningu, svo lestu stefnuna en ekki táknið.

Vinnið þrepin í ofangreindri röð og stoppaðu við það fyrsta sem framleiðir villu. Hvert síðara þrep erfur ástand þeirra fyrri, svo bilun í þriðja þrepi segir ekkert um það fjórða.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal