VPN-ის ხელის ჩამორთმევის საფეხურები: რა ხდება ტრაფიკის დინებამდე

დაკავშირების დაჭერა იწყებს ოთხ ცალკეულ დავალებას, რომლებიც დამოუკიდებლად წარმატდება ან ვარდება. კლიენტმა უნდა მიაღწიოს მსმენელამდე, შეთანხმდეს, ვინ არის პარტნიორი, გამოიმუშაოს გასაღებები და შემდეგ გადასცეს მომუშავე გვირაბი სისტემის დანარჩენ ნაწილს. წარუმატებელი კავშირების უმეტესობა არასწორ დავალებაში დიაგნოსტირდება. ამიტომ პირველი შეცდომა მესამე ცდაზე მეტად მნიშვნელოვანია.

ჯერ მიაღწიეთ მსმენელამდე

სანამ რაიმე იდენტობა გაიცვლება, კლიენტი წყვეტს სახელს, ირჩევს მარშრუტს და ხსნის ტრანსპორტს პორტისკენ. ყველაფერზე პასუხისმგებელი ტყვე პორტალი, დახურული პორტი და არასწორი ჰოსტის სახელი აქ ყველა ვარდება, და არც ერთი მათგანი არ არის ავთენტიფიკაციის პრობლემა. პაროლის შეცვლა ვერ გამოასწორებს ამ სამიდან არც ერთს. წაიკითხეთ შეცდომის პირველი სტრიქონი, სანამ რწმუნებულებს შეეხებით.

დროის ამოწურვა, სერტიფიკატის უარყოფა და უარყოფილი ანგარიში სამი განსხვავებული ხარვეზია სამი განსხვავებული შემოწმებით. მათი პირველად დახარისხება სწორედ ისაა, რაც ხელს უშლის ქსელური პრობლემის რწმუნებულების პრობლემად გამართვას.

დაამტკიცეთ პარტნიორი, შემდეგ გამოიმუშავეთ გასაღებები

ყოველ პროტოკოლს სჭირდება გზა, რომ ამოიცნოს განზრახული სერვერი, იქნება ეს კონფიგურირებული საჯარო გასაღები თუ სერტიფიკატების ჯაჭვი. მომხმარებლის შესვლა დამატებაა ამ შემოწმებისა, და არა მისი შემცვლელი. სერვერი, რომელიც თქვენს პაროლს იღებს, არაფერი დაუმტკიცებია საკუთარი იდენტობის შესახებ. ამიტომ კლიენტში აკრეფილი საერთო საიდუმლო არ ცვლის იმის შემოწმებას, თუ ვინ უპასუხა.

შემდეგ გაცვლა ტრაფიკის გასაღებებს პროტოკოლის საკუთარი შეყვანებიდან გამოიმუშავებს, და შესვლის პაროლი ჩვეულებრივ არ არის ის გასაღები, რომელიც ყოველ პაკეტზე იჭედება. გრძელვადიან იდენტობის მასალას და მოკლევადიან სესიის გასაღებებს განსხვავებული სიცოცხლე და სხვადასხვა ამოცანა აქვთ. სწორედ ამ გამიჯვნაზეა საუბარი წინსვლით საიდუმლოებაზე.

დატოვეთ შემოწმება ჩართული პრობლემების ძიებისას, რადგან გვირაბი, რომელიც შემოწმების გამორთვის შემდეგ უკავშირდება, არაფერი დაუმტკიცებია გარდა იმისა, რომ შემოწმება რაღაცას აკეთებდა. ჩაწერეთ რა შეცვალეთ და დაუბრუნეთ იგი შემდეგ ტესტამდე.

სამი პროტოკოლი, სამი საუბარი

TLS-ზე დაფუძნებულ OpenVPN განლაგებაში მართვის არხი უსაფრთხოების პარამეტრებზე მოლაპარაკებას აწარმოებს, ხოლო მონაცემთა არხი გვირაბის ტრაფიკს ატარებს, ამიტომ მონაცემთა არხის პარამეტრი და სერტიფიკატის პრობლემა სხვადასხვა ადგილას ცხოვრობს. IKEv2 ავთენტიფიცირებს ორივე მონაწილეს და შემდეგ ქმნის IPsec უსაფრთხოების ასოციაციებს საკუთარი ვადებით. WireGuard გასაღებებს Noise-ზე დაფუძნებული გაცვლით გამოიმუშავებს და მდგომარეობის მანქანას განზრახ პატარად ინახავს. იმის ცოდნა, სამიდან რომელს ამუშავებთ, წყვეტს, რომელი ჟურნალია წაკითხვად ღირებული.

მსგავსად გარეგნული კლიენტები არ ნიშნავს ქვემოთ შესაცვლელ შეტყობინებებს, და ერთ პროდუქტში არსებულ კონფიგურაციის ველს შეიძლება მეორეში ანალოგი არ ჰქონდეს. მათ შორის პროფილის კოპირება ვარაუდია და არა მიგრაცია.

რას არ აკეთებს ხელის ჩამორთმევა

მარშრუტები, სახელების გარჩევა და დანიშნულების პოლიტიკა ყველა შემდეგ რჩება. შიდა საიტი შეიძლება მიუწვდომელი დარჩეს, რადგან მისი ქვექსელის მარშრუტი აკლია, მიუხედავად იმისა, რომ პარტნიორი სწორად ავთენტიფიცირდა და გვირაბი ჩართულია. ამის სუსტ დაშიფვრად მიჩნევა არასწორ ფენაში საძიებლად გაგზავნით, და ეს ჩვეულებრივ მთავრდება შიფრის შეცვლით, რომელიც არაფერს ასწორებს.

გასაღებების განახლება და ხელახალი დაკავშირება ასევე ერთმანეთს ჰგავს სტატუსის ჩვენებების უმეტესობაში, და არც ერთი არ გეუბნებათ, დაიბლოკა თუ არა ჩვეულებრივი ტრაფიკი შეფერხების დროს. მხოლოდ კლიენტის წარუმატებლობის პოლიტიკა პასუხობს ამ კითხვას, ამიტომ წაიკითხეთ პოლიტიკა და არა ხატულა.

დაამუშავეთ ეტაპები ზემოთ მოცემული რიგით და გაჩერდით პირველზე, რომელიც შეცდომას წარმოქმნის. ყოველი მომდევნო ეტაპი მემკვიდრეობით იღებს წინათა მდგომარეობას, ამიტომ მესამე ეტაპზე ჩავარდნა მეოთხეზე არაფერს ამბობს.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal