VPN басқару және деректер арналары: дұрыс деңгейді тексеріңіз

Клиент қосылды дейді, сервер серіктесті көреді, ал қолданба әлі еш жерге жетпейді. Сол сәтте пайдалы сұрақ қай шифрды өзгерту керектігі емес, қай арна істен шыққаны. OpenVPN екі функцияны анық атайды: сессия туралы келіссөз жүргізетін және оны басқаратын басқару арнасы, және қорғалған трафикті тасымалдайтын деректер арнасы. IKEv2 ұқсас бөліністі IKE бірлестігі мен CHILD бірлестігі арқылы білдіреді. Төмендегі тексерулерді ретімен орындаңыз, себебі басқару жолындағы ақауға қолданылған деректер жолын түзету өзгеріс терезесін ысырап етеді.

Жөндеуге кіріспес бұрын арнаны атаңыз

Басқару жағы қауіпсіздік материалы туралы келіссөз жүргізеді, серіктестерді аутентификациялайды және байланысты басқарады. Деректер жағы қажетті күй пайда болған соң таңдалған трафикті тасымалдайды.

Олар әртүрлі істен шығады. Басқару ақауы әдетте сізді мүлде пайдалануға жарамды сессиясыз қалдырады немесе циклде қайта келіссөз жүргізетін сессиямен қалдырады. Деректер ақауы сау көрінетін сессияны қалдырады, бірақ пакеттер тасталады, қате бағытталады немесе қарсы жақ қабылдамайтын параметрлермен қорғалады. Сіз оқып отырған журнал жолы қай жағдайда екеніңізді айтады, сондықтан қате мәтінінен бұрын белгіні оқыңыз.

Басқару алмасуын тексеріңіз

Қол алысудың аяқталатынын және екі жақтың тасымал, TLS нұсқасы және аутентификация әдісі туралы келісетінін растаңыз. OpenVPN журналдары басқару арнасы мен деректер арнасының жеке жолдарын басады, және сертификат, TLS нұсқасы немесе tls-crypt сәйкессіздігі дәл басқару жолында көрінеді.

Егер басқару алмасуы істен шықса, қолжетімді портқа, сертификаттар тізбегіне және оның жарамдылық күндеріне, жүйе сағатына, клиент пен сервер арасындағы шифрлардың қабаттасуына және кез келген tls-auth немесе tls-crypt кілтіне қараңыз. Үлкен сертификаттар тізбегі кез келген аутентификация аяқталмай тұрып жолдың MTU-ында да істен шығуы мүмкін, бұл уақыт шегі сияқты көрінеді, криптографиялық қате емес.

Басқару ақауларын басқару параметрлерімен түзетіңіз. Деректер шифрын көтеру немесе деректерді аутентификациялау саясатын босаңсыту сертификат алмасуынан ешқашан аспаған қол алысуды аяқтамайды.

Деректер арнасын бөлек тексеріңіз

Сессия көтерілген соң келісілген деректер шифры мен режимін, кілт туындысын және кілтті жаңарту әрекетін растаңыз. OpenVPN-де деректер арнасының жолы нақты іске қосылған шифр мен кілт өлшемін атайды, және олар профильдегі бірінші шифрдан өзгеше болуы мүмкін.

Содан кейін сессияның не орнатқанын тексеріңіз. PUSH_REPLY маршруттар, DNS сервері және redirect-gateway нұсқауын қосуы мүмкін, және солардың кез келгені трафикті қолданба пайдалана алмайтын жерге жібере алады. IKEv2 үшін баламалы сұрақ — CHILD бірлестігінің селекторлары нақты ағындағы мекенжайларға сәйкес келе ме.

tls-auth және tls-crypt басқару арнасына жатады. Олар қол алысуды аутентификациялайды немесе шифрлайды және қолданбаның деректер шифрын таңдамайды. Егер олардың бірін деректер жолындағы өзгеріс күтіп қоссаңыз, өзгерткен жалғыз нәрсеңіз — қол алысу.

Атауларды IKEv2 және OpenVPN-мен байланыстырыңыз

IKEv2-де IKE қауіпсіздік бірлестігі және бір немесе бірнеше CHILD бірлестігі бар. IKE бірлестігі басқару алмасуларын тасымалдайды; CHILD бірлестігі қорғалған трафикті және оның селекторларын тасымалдайды. Олар жеке кестелер бойынша келісіледі және кілттері жаңартылады, сондықтан біреуі сау болуы мүмкін, екіншісі ондай болмағанда.

ESP-тің ішінде TLS стиліндегі басқару арнасы жоқ. Басқару хаттамасы — IKE, ал ESP — қорғалған жүктеме. ESP-ті деректер арнасы деп атау — бос қысқарту, ол пакеттер жазбасын оқығанда шатастырады, өйткені жазба IKE хабарламалары мен ESP пакеттерін желіде әртүрлі хаттамалар ретінде көрсетеді.

Жазбаларыңызда сәйкестікті анық ұстаңыз: OpenVPN басқару арнасы мен IKE SA — басқару жағы, OpenVPN деректер арнасы мен CHILD SA — трафик жағы, және бөлініс ұқсас көрінсе де іске асырулар бірін-бірі алмастырмайды.

Қате параметрді өзгертуді тоқтатыңыз

Жолды бір бағытта жүріп өтіңіз: басқару алмасуы, деректерді қорғау, қайта жіберу, содан кейін атауларды шешу. Бірінші сәтсіз кезеңде тоқтап, тек сол кезеңді түзетіңіз. Шлюзге пинг жұмыс істейтін, бірақ қолданба трафигі жоқ қосылған сессия — қайта жіберу немесе селектор мәселесі, қол алысу мәселесі емес.

Әр кезеңнің дәлелін билетте бөлек жазыңыз: басқару журналының жолы, келісілген деректер параметрлері, орнатылған маршруттар және бір нақты сұраныс. Бұл құрылым жұмыс істеп тұрған жеке басын тексеруді ол ешқашан тудырмаған кейінгі маршруттау мәселесін түзету үшін әлсіретуге жол бермейді және деректер шифрының өзгерісін сертификат қатесінің шешімі ретінде сатуға жол бермейді.

OpenVPN хаттамасының құжаттамасы басқару мен деректердің бөлінісіне сілтеме болып табылады; жеткізушінің интерфейсі сол екі функция үшін басқа сөздерді қолданса, оны пайдаланыңыз.