OpenVPN же IKEv2: протоколду тандоодон мурун төрт текшерүү

OpenVPN менен IKEv2нин ортосундагы тандоо адатта протокол маселеси катары талкууланат, жана мындай алкак чечимди текке кетирет. Чечимди сервериңиз жана түзмөктөрүңүз бирдей толук профилди колдойбу жана ошол профиль тармактардын ортосунда жүрүүңүзгө туруштук береби — ошол аныктайт. Эки стек бири-бирине айланбайт: OVPN файлы башка синтаксистүү IKEv2 профили эмес. Кезеги менен аткарылган төрт текшерүү суроого каалаган өзгөчөлүктөр таблицасынан тезирээк жооп берет.

Кардар жок болсо, талкуу бүтөт

Windows жана macOS IKEv2 кардары менен келет, андыктан ал жерде IKEv2 профилин жайгаштыруу кошумча чыгым талап кылбайт жана операциялык система мурунтан сунуштаган камдоо параметрлерин мураска алат. Ошол эле машиналарда OpenVPN орнотуу, жаңыртуу жана колдоо талап кылынган үчүнчү тараптын кардарын билдирет, жана ал кардар профиль колдонгон ар бир параметрди кабыл алышы керек. Башка нерсени салыштырбастан мурун камтоого тийиш болгон платформаларды санаңыз, анткени иштеген кардары жок платформа салыштыруу чекити эмес.

Windowsта бир буйрук мурунтан бар профилдерди тизмелеп, ар биринин түрүн көрсөтөт. Ал басып чыгарган ат кийинки текшерүүлөр колдонгон ат.

Get-VpnConnection -AllUserConnection
Get-VpnConnection -Name <profile-name> | Select-Object Name, ServerAddress, TunnelType

Кардар орнотуу сунушу ошол платформалардагы OpenVPN тилкесинин чыныгы жообу, жана бул протоколдун чектөөсү эмес, жайгаштыруу милдети. Бир да жайгашуу ишеним текшерүүлөрүн, инсандыкты ырастоону же тейлөөнү жок кылбайт. Милдеттенүүдөн мурун профилдер кантип бөлүштүрүлөт, каттоо эсебинин маалыматтары кантип жаңыртылат жана жоголгон түзмөк кантип алынат — сураңыз. Жөнөкөй орнотуу да дем алыш күндөрү эч ким аткаргысы келбеген калыбына келтирүү жол-жобосун жашырышы мүмкүн.

Уюлдуктук — жалпы жөндөө, протоколдун убадасы эмес

IKEv2 MOBIKE'ти эки тарап тең колдоп, күйгүзгөндө колдоно алат, бул кардарга дареги өзгөргөндө туннелин сактоого мүмкүндүк берет. RFC 4555 бул кеңейтүүнү аныктайт, жана шарттуу туюнтма маанилүү: бул мүмкүнчүлүктү четке каккан сервер анын ордуна кайра сүйлөшүү жүргүзөт. Жыйынтык файл өткөрүү үчүн окшош, ал эми түз чалуу үчүн абдан башка көрүнүшү мүмкүн.

Сизге чынында маанилүү болгон өтүүнү байкоого боло турган иштеп жаткан нерсе менен текшериңиз. Windowsта ping -t <internal-host> иштеп турсун, башка жерде жөнөкөй ping, анан Wi-Fi'ден уюлдук тармакка өтүп, үзүлүштөрдү байкаңыз. MOBIKE ишке ашпаса, кардардын журналында даректин тынч жаңырышы эмес, толук кайра аутентификация катары көрүнөт. Сиз туннелдин өзгөрүүгө туруштук берерин өлчөйсүз, протоколдун колдоону жарнамалашын эмес.

OpenVPN кардарлары өз платформасынын жүрүм-туруму жана профилдин таймерлери боюнча кайра туташат, ошондуктан ошол эле сыноо башка формадагы үзүлүштү жаратышы мүмкүн. Протоколдогу белгини эмес, колдонуучуларыңыз үчүн маанилүү болгон окуяны салыштырыңыз.

Каттоо маалыматтары кызматка таандык, стекке эмес

Сертификаттар жана башка кирүү жайгашуулары байланышты бүтүргөн кызматка таандык. Бир кардардагы сырсөз суроосу экинчиси менен шайкештиги жөнүндө эч нерсе айтпайт, ал эми башка шлюз менен иштеген профиль бул шлюз жөнүндө эч нерсе айтпайт. Эки стекти салыштырып жатканда сервердин инсандык эрежелерин өзгөрүүсүз кармаңыз. Кемчиликти аныктабастан протоколдорду алмаштыруу адатта экинчи шайкеш келбеген профилди жаратат.

Каалаган протоколду күнөөлөөдөн мурун кардар көрсөтө турган каттоо маалыматын караңыз, анткени мөөнөтү өткөн же туура эмес берилген сертификат экөөндө тең бирдей ишке ашпайт. Төмөнкү чыгаруу жеке ачкычты окубастан субъектини, берүүчүнү жана жарактуулук даталарын көрсөтөт.

openssl x509 -in client.crt -noout -subject -issuer -dates

Компания байланышы үчүн компания жарыялаган ыкманы колдонуңуз жана салыштырууну тажрыйба катары кароону токтотуңуз. Эгер экөөнү өзүңүз салыштырып жатсаңыз, адегенде экөө тең бир шлюзда бүтөбү — текшериңиз, анткени ошол бир деталь жыйынтыгыңыздын канча бөлүгү протокол жөнүндө экенин чечет. Каттоо маалыматын атаган баш тартуу — каттоо маалыматынын маселеси, жана протоколду канча алмаштырсаңыз да аны оңдобойт.

Туннелдин чынында эмнени маршруттайарын текшериңиз

Туташкандан кийин керектүү маршрут бар экенин жана аттар чечилерин ырастаңыз. Ички ресурстар үчүн бар профиль кадимки серептөөнү атайын жергиликтүү жолдо калтырышы мүмкүн, жана бул кемчилик эмес, саясат чечими. Командаңыз колдонгон багыттар туннель аркылуу жеткиликтүүбү — ошол маанилүү.

Windowsта эки буйрук маршрутты жана ат издөөнү камтыйт. Linuxтагы эквиваленттери — ip route show default жана resolvectl query <internal-host>.

Get-NetRoute -DestinationPrefix 0.0.0.0/0
Resolve-DnsName <internal-host>

Көтөрүлүп, бирок пайдалуу эч нерсени маршруттабаган туннель профиль кызматтардын ортосунда көчүрүлгөндө кеңири таралган натыйжа, жана жалпы туташуу сыноосу муну көрсөтпөйт, анткени интерфейс көтөрүлгөн. Колдонуучуларыңыз биринчи ачкан ресурсту сынаңыз, каалаган жол жете турган коомдук даректи эмес. Эгер ат коомдук дарекке чечилип, маршрут туннелдин ичине көрсөтсө, DNS жообу менен маршрут ар башка чечимдерге таандык жана экөөнү тең оңдоо керек.

Текшерүүлөрдөн кийин тейлөөнү салмактаңыз

Абстракттуу түрдө бир да протокол экинчисинен оңой тейленбейт. Тейлөө шлюзду ким башкарарына, профилдер түзмөктөргө кантип жетээрине жана жоголгон түзмөк канчалык тез жетүүнү жоготооруна көз каранды. Жөнөкөй акыркы кардар башкарууга кыйыныраак сервердин алдында турушу мүмкүн, тескерисинче да болот. Аны курган адам кеткенден кийин командаңыз экөөнүн кайсынысын уланта аларын сураңыз.

Ишти камтыган колдоого ээ туташууну тандаңыз, анан аны өзгөчөлүктөр тизмесине эмес, чынында керектүү жетүүгө каршы сынаңыз. Ар бир вариант кайсы шлюзда бүтөөрүн жазыңыз, анткени эки башка шлюз салыштырууну протоколдор жөнүндө болгондой эле маршруттар жөнүндө кылат. Төрт текшерүүнү чынында алып жүрө турган түзмөктө кайталаңыз жана андан өткөн профилди сактаңыз.