VPN-Kontrollkanal a Datenkanal: iwwerpréift déi richteg Schicht

De Client seet verbonnen, de Server gesäit e Partner, an d'Applikatioun erreeicht nach ëmmer näischt. Zu deem Zäitpunkt ass d'nëtzlech Fro net wéi eng Chiffre ze änneren, mä wéi ene Kanal versot huet. OpenVPN nennt zwou Funktiounen explizit: e Kontrollkanal deen d'Sessioun verhandelt an dee geréiert, an e Datenkanal deen de geschützte Verkéier dréit. IKEv2 dréckt eng ähnlech Deelung duerch d'IKE-Associatioun an d'CHILD-Associatioun aus. Maacht d'Kontrollen hei drënner an der Rei, well eng Korrektur um Datenwee déi op e Feeler um Kontrollwee ugewannt gëtt, e Ännerungsfënster verschwendt.

Nennt de Kanal ier Dir en debugt

D'Kontrollsäit verhandelt Sécherheetsmaterial, authentifizéiert Partner a geréiert d'Verbindung. D'Datensäit dréit de gewielte Verkéier, soubal den néidegen Zoustand do ass.

Si versoen ënnerschiddlech. E Kontrollfeeler loosst Iech meeschtens ganz ouni brauchbar Sessioun, oder mat enger Sessioun déi an enger Schlauf erëm verhandelt. E Datenfeeler loosst eng Sessioun déi gesond ausgesäit, wärend Paketen verworf, falsch geroutet oder mat Parameteren geschützt ginn, déi déi aner Säit net akzeptéiert. D'Loglinn déi Dir liest seet Iech a wéi engem vun deenen zwee Dir sidd, also liest d'Etikett virum Feelertext.

Iwwerpréift den Kontrollaustausch

Bestätegt datt den Handshake fäerdeg gëtt an datt béid Säiten sech iwwer den Transport, d'TLS-Versioun an d'Authentifikatiounsmethod eeneg sinn. OpenVPN-Logs drécken getrennte Linnen fir de Kontrollkanal an de Datenkanal, an et ass an der Kontrolllinn wou en Ënnerscheed bei Zertifikat, TLS-Versioun oder tls-crypt opdaucht.

Wann den Kontrollaustausch versot, kuckt op de erreechbare Port, d'Zertifikatskette an hir Gëltegkeetsdatumer, d'Systemauer, d'Iwwerleppung vun de Chiffren tëschent Client a Server an all tls-auth oder tls-crypt Schlëssel. Eng grouss Zertifikatskette kann och um MTU vum Wee versoen ier eng Authentifikatioun fäerdeg ass, wat wéi en Timeout ausgesäit an net wéi e kryptografesche Feeler.

Flickt Kontrollfeeler mat Kontrollastellungen. D'Datechiffre erhéijen oder d'Dateauthentifikatiounspolitik lockeren komplettéiert keen Handshake deen ni iwwer den Zertifikatsaustausch erauskomm ass.

Iwwerpréift den Datenkanal getrennt

Soubal d'Sessioun steet, bestätegt déi verhandelt Datechiffre an de Modus, d'Schlësselofleedung an d'Verhalen bei der Schlësselerneierung. Bei OpenVPN nennt d'Datenkanallinn d'Chiffre an d'Schlësselgréisst déi tatsächlech initialiséiert goufen, an déi kënnen ënnerschiddlech sinn vun der éischter Chiffre am Profil.

Da kuckt wat d'Sessioun installéiert huet. E PUSH_REPLY kann Routen, en DNS-Server an eng redirect-gateway-Direktiv bäisetzen, an all dat kann Verkéier dohi schécken wou d'Applikatioun en net ka benotzen. Fir IKEv2 ass déi gläichwäerteg Fro ob d'Selektore vun der CHILD-Associatioun mat den Adressen am tatsächleche Floss passen.

tls-auth an tls-crypt gehéieren zum Kontrollkanal. Si authentifizéieren oder verschlësselen den Handshake an si wielen net d'Datechiffre vun der Applikatioun. Wann Dir eng vun hinnen derbäisetzt an eng Ännerung um Datenwee erwaart, ass dat eenzegt wat Dir geännert hutt den Handshake.

Verbind d'Nimm mat IKEv2 an OpenVPN

IKEv2 huet eng IKE-Sécherheetsassociatioun an eng oder méi CHILD-Associatiounen. D'IKE-Associatioun dréit d'Kontrollaustauschen; d'CHILD-Associatioun dréit de geschützte Verkéier an hir Selektoren. Si gi verhandelt an hir Schlëssele ginn no getrennten Zäitpläng erneiert, also kann déi eng gesond sinn während déi aner et net ass.

ESP huet keng Kontrollkanal am TLS-Stil an sech. De Kontrollprotokoll ass IKE, an ESP ass d'geschützt Notzlaascht. ESP den Datenkanal nennen ass eng lass Kuerzform déi verwirrend gëtt wann Dir e Paketopnam liest, well den Opnam IKE-Noriichten an ESP-Paketen als verschidde Protokoller um Drot weist.

Halt d'Zouuerdnung an Ären Notizen explizit: OpenVPN-Kontrollkanal an IKE SA sinn d'Verwaltungssäit, OpenVPN-Datenkanal an CHILD SA sinn d'Verkéierssäit, an d'Implementatioune sinn net austauschbar och wann d'Deelung ähnlech ausgesäit.

Halt op déi falsch Astellung ze änneren

Gitt de Wee an eng Richtung: Kontrollaustausch, Dateschutz, Weiderleedung an duerno d'Nummenopléisung. Halt bei der éischter Etapp déi versot a flickt just déi Etapp. Eng verbonne Sessioun mat engem funktionéierende Ping op de Gateway awer ouni Applikatiounsverkéier ass e Problem vun der Weiderleedung oder de Selektoren, keen Handshake-Problem.

Schreift d'Beweiser fir all Etapp getrennt an den Ticket: d'Kontrollloglinn, déi verhandelt Datenparameter, déi installéiert Routen an eng richteg Ufro. Dës Struktur verhënnert datt eng funktionéierend Identitéitspréifung geschwächt gëtt fir e spéidere Routingproblem ze flicken deen se ni verursaacht huet, an et verhënnert datt eng Ännerung vun der Datechiffre als Flick fir e Zertifikatsfeeler verkaaft gëtt.

D'OpenVPN-Protokolldokumentatioun ass d'Referenz fir d'Deelung tëschent Kontroll an Daten; benotzt se wann d'Interface vun engem Fournisseur aner Wierder fir déi selwecht zwou Funktiounen benotzt.