VPN-ის საკონტროლო და მონაცემთა არხები: შეამოწმეთ სწორი შრე

კლიენტი ამბობს, რომ დაკავშირებულია, სერვერი ხედავს პარტნიორს, და აპლიკაცია მაინც ვერაფერს აღწევს. ამ მომენტში სასარგებლო კითხვა არ არის რომელი შიფრი შევცვალოთ, არამედ რომელი არხი ჩავარდა. OpenVPN ორ ფუნქციას პირდაპირ ასახელებს: საკონტროლო არხს, რომელიც სესიაზე მოლაპარაკებას აწარმოებს და მართავს მას, და მონაცემთა არხს, რომელიც დაცულ ტრაფიკს გადააქვს. IKEv2 მსგავს დაყოფას IKE ასოციაციისა და CHILD ასოციაციის მეშვეობით გამოხატავს. შეასრულეთ ქვემოთ მოცემული შემოწმებები თანმიმდევრობით, რადგან მონაცემთა გზის შესწორება, რომელიც საკონტროლო გზის ხარვეზზე გამოიყენება, ცვლილების ფანჯარას ფლანგავს.

დაასახელეთ არხი გამართვამდე

საკონტროლო მხარე უსაფრთხოების მასალაზე მოლაპარაკებას აწარმოებს, პარტნიორებს ამოწმებს და კავშირს მართავს. მონაცემთა მხარე შერჩეულ ტრაფიკს გადააქვს, როცა საჭირო მდგომარეობა უკვე არსებობს.

ისინი სხვადასხვაგვარად ჩავარდებიან. კონტროლის ხარვეზი ჩვეულებრივ გტოვებთ სრულიად გამოუსადეგარი სესიის გარეშე, ან ისეთი სესიით, რომელიც ციკლში ხელახლა აწარმოებს მოლაპარაკებას. მონაცემთა ხარვეზი ტოვებს სესიას, რომელიც ჯანმრთელად გამოიყურება, მაშინ როცა პაკეტები იკარგება, არასწორად იმისამართება ან იცავს ისეთი პარამეტრებით, რომლებსაც მოპირდაპირე მხარე არ მიიღებს. ჟურნალის სტრიქონი, რომელსაც კითხულობთ, გეუბნებათ რომელ შემთხვევაში ხართ, ამიტომ წაიკითხეთ იარლიყი შეცდომის ტექსტამდე.

შეამოწმეთ საკონტროლო გაცვლა

დაადასტურეთ, რომ ხელის ჩამორთმევა სრულდება და რომ ორივე მხარე თანხმდება ტრანსპორტზე, TLS ვერსიასა და ავთენტიფიკაციის მეთოდზე. OpenVPN-ის ჟურნალები ცალკე სტრიქონებს ბეჭდავს საკონტროლო და მონაცემთა არხებისთვის, და სწორედ საკონტროლო სტრიქონში ჩანს სერტიფიკატის, TLS ვერსიის ან tls-crypt-ის შეუსაბამობა.

თუ საკონტროლო გაცვლა ჩავარდა, შეხედეთ მისაწვდომ პორტს, სერტიფიკატების ჯაჭვსა და მის ვალიდობის თარიღებს, სისტემის საათს, კლიენტსა და სერვერს შორის შიფრების გადაფარვას და ნებისმიერ tls-auth ან tls-crypt გასაღებს. დიდი სერტიფიკატების ჯაჭვი ასევე შეიძლება ჩავარდეს გზის MTU-ზე ნებისმიერი ავთენტიფიკაციის დასრულებამდე, რაც დროის გასვლას ჰგავს და არა კრიპტოგრაფიულ შეცდომას.

საკონტროლო ხარვეზები საკონტროლო პარამეტრებით გაასწორეთ. მონაცემთა შიფრის აწევა ან მონაცემთა ავთენტიფიკაციის პოლიტიკის შესუსტება არ დაასრულებს ხელის ჩამორთმევას, რომელმაც სერტიფიკატების გაცვლას არასოდეს გადააჭარბა.

შეამოწმეთ მონაცემთა არხი ცალკე

სესიის აწევის შემდეგ დაადასტურეთ შეთანხმებული მონაცემთა შიფრი და რეჟიმი, გასაღების წარმოშობა და გასაღების განახლების ქცევა. OpenVPN-ში მონაცემთა არხის სტრიქონი ასახელებს რეალურად ინიციალიზებულ შიფრსა და გასაღების ზომას, და ისინი შეიძლება განსხვავდებოდეს პროფილის პირველი შიფრისგან.

შემდეგ შეამოწმეთ, რა დააყენა სესიამ. PUSH_REPLY-ს შეუძლია მარშრუტების, DNS სერვერისა და redirect-gateway მითითების დამატება, და ნებისმიერმა მათგანმა შეიძლება ტრაფიკი გაგზავნოს იქ, სადაც აპლიკაცია ვერ გამოიყენებს. IKEv2-ისთვის ეკვივალენტური კითხვაა, შეესაბამება თუ არა CHILD ასოციაციის სელექტორები რეალური ნაკადის მისამართებს.

tls-auth და tls-crypt საკონტროლო არხს ეკუთვნის. ისინი ხელის ჩამორთმევას ავთენტიფიცირებენ ან შიფრავენ და არ ირჩევენ აპლიკაციის მონაცემთა შიფრს. თუ ერთ-ერთ მათგანს დაამატებთ მონაცემთა გზის ცვლილების მოლოდინში, ერთადერთი, რაც შეცვალეთ, ხელის ჩამორთმევაა.

დააკავშირეთ სახელები IKEv2-სა და OpenVPN-ს

IKEv2-ს აქვს IKE უსაფრთხოების ასოციაცია და ერთი ან რამდენიმე CHILD ასოციაცია. IKE ასოციაცია საკონტროლო გაცვლებს გადააქვს; CHILD ასოციაცია დაცულ ტრაფიკსა და მის სელექტორებს. მათზე მოლაპარაკება და გასაღებების განახლება ცალკეული გრაფიკებით ხდება, ამიტომ ერთი შეიძლება ჯანმრთელი იყოს, მეორე კი არა.

ESP-ს შიგნით TLS სტილის საკონტროლო არხი არ აქვს. საკონტროლო პროტოკოლი IKE-ია, ხოლო ESP დაცული დატვირთვაა. ESP-ს მონაცემთა არხად წოდება ფხვიერი შემოკლებაა, რომელიც დამაბნეველი ხდება პაკეტების ჩანაწერის კითხვისას, რადგან ჩანაწერი IKE შეტყობინებებსა და ESP პაკეტებს ხაზზე სხვადასხვა პროტოკოლად აჩვენებს.

შენიშვნებში ეს შესაბამისობა ნათლად შეინახეთ: OpenVPN-ის საკონტროლო არხი და IKE SA მართვის მხარეა, OpenVPN-ის მონაცემთა არხი და CHILD SA ტრაფიკის მხარეა, და იმპლემენტაციები ურთიერთშემცვლელი არ არის, მაშინაც კი როცა დაყოფა მსგავსად გამოიყურება.

შეწყვიტეთ არასწორი პარამეტრის შეცვლა

გაიარეთ გზა ერთი მიმართულებით: საკონტროლო გაცვლა, მონაცემთა დაცვა, გადაგზავნა, შემდეგ სახელების გარჩევა. გაჩერდით პირველ ჩავარდნილ ეტაპზე და მხოლოდ ის ეტაპი გაასწორეთ. დაკავშირებული სესია, სადაც კარიბჭესთან ping მუშაობს, მაგრამ აპლიკაციის ტრაფიკი არ არის, გადაგზავნის ან სელექტორების პრობლემაა და არა ხელის ჩამორთმევის.

თითოეული ეტაპის მტკიცებულება ცალკე ჩაწერეთ ბილეთში: საკონტროლო ჟურნალის სტრიქონი, შეთანხმებული მონაცემთა პარამეტრები, დაყენებული მარშრუტები და ერთი რეალური მოთხოვნა. ეს სტრუქტურა ხელს უშლის მომუშავე იდენტობის შემოწმების შესუსტებას იმ გვიანდელი მარშრუტიზაციის პრობლემის გამო, რომელიც მან არასოდეს გამოიწვია, და ხელს უშლის მონაცემთა შიფრის ცვლილების გაყიდვას სერტიფიკატის შეცდომის გადაწყვეტად.

OpenVPN პროტოკოლის დოკუმენტაცია კონტროლისა და მონაცემების დაყოფის საცნობარო წყაროა; გამოიყენეთ ის, როცა მომწოდებლის ინტერფეისი იმავე ორ ფუნქციას სხვა სიტყვებით მოიხსენიებს.