VPN-Handshake-Schrëtt: wat geschitt, ier den Trafik fléisst

E Klick op Verbannen start véier getrennte Aufgaben, déi onofhängeg geléngen oder scheiteren. De Client muss en Nolauschterer erreechen, sech iwwer d’Identitéit vum Peer eeneg ginn, Schlësselen offleeden an dann en funktionéierenden Tunnel un de Rescht vum System iwwerginn. Déi meescht feelgeschloen Verbindunge ginn an der falscher Aufgab diagnostizéiert. Dofir zielt déi éischt Feeler méi wéi den drëtten Versuch.

Eischter den Nolauschterer erreechen

Ier eng Identitéit ausgetosch gëtt, léist de Client en Numm op, wielt eng Route an öffnet en Transport op en Hafen. En Captive Portal, deen alles äntwert, en zouene Port an e falschen Hostnumm scheiteren hei alleguer, an keen dovun ass en Authentifikatiounsproblem. E Passwuert z’änneren kann keen vun den dräi behiewen. Liest déi éischt Zeil vun der Feeler, ier Dir d’Zougangsdaten uschléist.

En Timeout, eng Zertifikatsabweisung an e refuséierte Kont sinn dräi verschidde Stéierungen mat dräi verschiddene Prüfunge. Si fir d’éischt ze sortéieren ass dat, wat verhënnert, datt e Netzwierkproblem als Zougangsdatenproblem debuggt gëtt.

Beweist de Peer, da leet d’Schlësselen of

All Protokoll brauch e Wee, fir de virgesinne Server ze erkennen, sief et duerch e konfiguréierte ëffentleche Schlëssel oder eng Zertifikatsketten. D’Benotzerumeldung kënnt zu där Prüfung derbäi an ersetzt se net. En Server, deen Äert Passwuert akzeptéiert, huet näischt iwwer seng eege Identitéit bewisen. Dofir ass e gemeinsaamt Geheimnis, dat an e Client getippt gëtt, keen Ersatz fir ze iwwerpréiwen, wien geäntwert huet.

Den Austausch offleedt duerno d’Trafikschlësselen aus den eegene Inpute vum Protokoll, an d’Loginpasswuert ass normalerweis net de Schlëssel, deen op all Paket gestempelt gëtt. Laangfristegt Identitéitsmaterial a kuerzlieweg Sessiounsschlësselen hunn ënnerschiddlech Liewensdaueren an Aufgabe. Genau ëm dës Trennung geet et bei Forward Secrecy.

Hält d’Verifikatioun aktiv wärend der Fehlersich, well en Tunnel, deen sech verbënnt nodeems Dir eng Prüfung deaktivéiert hutt, näischt bewisen huet ausser datt d’Prüfung eppes gemaach huet. Notéiert wat Dir geännert hutt, a setzt et virun der nächster Test zréck.

Dräi Protokollen, dräi Gespréicher

Bei engem TLS-baséierten OpenVPN-Asaz verhandelt de Kontrollkanal Sécherheetsparameter, während den Datenkanal den Tunneltrafik dréit, sou datt eng Datenkanaloptioun an e Zertifikatsproblem op verschiddene Plaze sinn. IKEv2 authentifizéiert béid Bedeelegter a baut duerno IPsec-Sécherheetsassociatiounen mat hiren eege Liewensdaueren op. WireGuard offleedt Schlësselen duerch säin Noise-baséierten Austausch an hält d’Zoustmaachin bewosst kleng. Ze wësse, wéi een vun den dräi Dir bedreift, decidéiert, wéi engem Log et wäert ass ze liesen.

Ähnlech ausgesinn Clienten heescht net, datt d’Noriichten ënnendrënner auswiesselbar sinn, an e Konfiguratiounsfeld, dat et an engem Produkt gëtt, huet an engem aneren vläicht kee Géigestéck. E Profil tëscht hinnen ze kopéieren ass eng Vermutung an net eng Migratioun.

Wat den Handshake net mécht

Routen, Nummopléisung an Destinatiounspolitik bleiwen all duerno. Eng intern Säit kann onereechbar bleiwen, well hir Subnetzroute feelt, obwuel de Peer korrekt authentifizéiert gouf an den Tunnel steet. Dat als schwaach Verschlësselung ze behandelen schéckt Iech an déi falsch Schicht sichen, an et endet meeschtens mat enger Cipherännerung, déi näischt reparéiert.

Schlësselerneierong a Reconnectioun gesinn a meeschte Statusanzeigen och ähnlech aus, an keen vun deenen zwee seet Iech, ob normale Trafik wärend der Ënnerbriechung blockéiert war. Nëmmen d’Feelerpolitik vum Client äntwert op déi Fro, also liest d’Politik an net d’Icon.

Schafft d’Etappen an der Rei hei uewen of a stoppt bei der éischter, déi eng Feeler erzeugt. All méi spéit Etapp ierft den Zoustand vun de viregen, dofir seet eng Feeler an der drëtter Etapp näischt iwwer déi véiert.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal