VPN қол алысу қадамдары: трафик ағуынан бұрын не болады

Қосу түймесін басу төрт бөлек тапсырманы іске қосады, олар тәуелсіз түрде сәтті немесе сәтсіз аяқталады. Клиент тыңдаушыға жетуі, серіктестің кім екенін келісуі, кілттерді шығаруы, содан кейін жұмыс істеп тұрған туннельді жүйенің қалған бөлігіне тапсыруы керек. Сәтсіз қосылымдардың көбісі қате тапсырмада диагностикаланады. Сондықтан бірінші қате үшінші әрекеттен маңыздырақ.

Алдымен тыңдаушыға жетіңіз

Қандай да бір сәйкестік алмасылмас бұрын клиент атауды шешеді, маршрут таңдайды және портқа тасымал ашады. Барлығына жауап беретін тұтқын портал, жабық порт және қате хост атауы осы жерде сәтсіз аяқталады, және олардың ешқайсысы аутентификация мәселесі емес. Құпиясөзді өзгерту үшеуінің ешқайсысын түзетпейді. Тіркелгі деректеріне қол тигізбес бұрын қатенің бірінші жолын оқыңыз.

Уақыттың бітуі, сертификаттың қабылданбауы және тіркелгінің қабылданбауы үш түрлі тексерісі бар үш түрлі ақау. Оларды бірінші сұрыптау желі мәселесін тіркелгі деректерінің мәселесі ретінде жөндеудің алдын алады.

Серіктесті дәлелдеңіз, содан кейін кілттерді шығарыңыз

Әр протоколға көзделген серверді тану тәсілі қажет: конфигурацияланған ашық кілт немесе сертификаттар тізбегі. Пайдаланушы кіруі сол тексеруге қосымша, оның орнын баспайды. Құпиясөзіңізді қабылдайтын сервер өзінің сәйкестігі туралы ештеңе дәлелдеген жоқ. Сондықтан клиентке терілген ортақ құпия кім жауап бергенін тексерудің орнын баспайды.

Содан кейін алмасу трафик кілттерін протоколдың өз кірістерінен шығарады, ал кіру құпиясөзі әдетте әр пакетке басылатын кілт емес. Ұзақ мерзімді сәйкестік материалы мен қысқа мерзімді сессия кілттерінің ғұмыры мен міндеттері өзгеше. Алға қарай құпиялылық дәл осы бөліну туралы.

Ақауларды іздеу кезінде тексеруді қосулы ұстаңыз, өйткені тексеруді өшіргеннен кейін қосылатын туннель тек сол тексерудің бірдеңе істеп жатқанын ғана дәлелдеді. Нені өзгерткеніңізді жазып алыңыз және келесі сынаққа дейін қалпына келтіріңіз.

Үш протокол, үш әңгіме

TLS негізіндегі OpenVPN орналастыруында басқару арнасы қауіпсіздік параметрлерін келіседі, ал деректер арнасы туннель трафигін тасымалдайды, сондықтан деректер арнасының опциясы мен сертификат мәселесі әр жерде тұрады. IKEv2 екі қатысушыны да аутентификациялайды, содан кейін өз мерзімдері бар IPsec қауіпсіздік қауымдастықтарын орнатады. WireGuard кілттерді Noise негізіндегі алмасу арқылы шығарады және күй машинасын әдейі шағын ұстайды. Үшеуінің қайсысын іске қосып жатқаныңызды білу қай журналды оқуға тұрарлық екенін анықтайды.

Ұқсас көрінетін клиенттер астындағы хабарламалардың өзара алмасатынын білдірмейді, ал бір өнімдегі конфигурация өрісінің екіншісінде баламасы болмауы мүмкін. Олардың арасында профиль көшіру көшіру емес, болжам.

Қол алысу не істемейді

Маршруттар, атауларды шешу және межелік саясаты бәрі содан кейін де қалады. Ішкі сайт өзінің қосалқы желі маршруты жоқ болғандықтан қолжетімсіз болып қалуы мүмкін, тіпті серіктес дұрыс аутентификацияланып, туннель істеп тұрса да. Мұны әлсіз шифрлау деп қарау сізді қате қабатта іздеуге жібереді, және бұл әдетте ештеңе түзетпейтін шифрды өзгертумен аяқталады.

Кілттерді жаңарту мен қайта қосылу да көптеген күй көрсеткіштерінде ұқсас көрінеді, және екеуі де үзіліс кезінде қарапайым трафик бұғатталды ма деп айтпайды. Бұл сұраққа тек клиенттің сәтсіздік саясаты жауап береді, сондықтан саясатты оқыңыз, белгішені емес.

Кезеңдерді жоғарыдағы ретпен орындап, қате шығаратын бірінші кезеңде тоқтаңыз. Әр кейінгі кезең алдыңғылардың күйін мұра етеді, сондықтан үшінші кезеңдегі сәтсіздік төртінші туралы ештеңе айтпайды.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal