VPN valdymo ir duomenų kanalai: patikrinkite tinkamą sluoksnį

Klientas sako prisijungęs, serveris mato partnerį, o programa vis tiek nieko nepasiekia. Tuo metu naudingas klausimas yra ne kokį šifrą keisti, o kuris kanalas sugedo. OpenVPN aiškiai įvardija dvi funkcijas: valdymo kanalą, kuris derasi dėl sesijos ir ją valdo, ir duomenų kanalą, kuris perduoda apsaugotą srautą. IKEv2 išreiškia panašų skirstymą per IKE asociaciją ir CHILD asociaciją. Atlikite toliau nurodytus patikrinimus iš eilės, nes duomenų kelio pataisa, pritaikyta valdymo kelio gedimui, iššvaisto pakeitimo langą.

Įvardykite kanalą prieš jį derindami

Valdymo pusė derasi dėl saugumo medžiagos, autentifikuoja partnerius ir valdo ryšį. Duomenų pusė perduoda pasirinktą srautą, kai yra reikiama būsena.

Jie nepavyksta skirtingai. Valdymo gedimas paprastai palieka jus visiškai be naudojamos sesijos arba su sesija, kuri cikle iš naujo derasi. Duomenų gedimas palieka sesiją, kuri atrodo sveika, nors paketai numetami, nukreipiami neteisingai arba apsaugomi parametrais, kurių kita pusė nepriims. Žurnalo eilutė, kurią skaitote, pasako, kurioje situacijoje esate, todėl skaitykite žymą prieš klaidos tekstą.

Patikrinkite valdymo mainus

Patvirtinkite, kad rankos paspaudimas baigiamas ir kad abi pusės sutaria dėl transporto, TLS versijos ir autentifikavimo metodo. OpenVPN žurnalai spausdina atskiras valdymo ir duomenų kanalų eilutes, ir būtent valdymo eilutėje matomas sertifikato, TLS versijos ar tls-crypt nesutapimas.

Jei valdymo mainai nepavyksta, pažiūrėkite į pasiekiamą prievadą, sertifikatų grandinę ir jos galiojimo datas, sistemos laikrodį, kliento ir serverio šifrų persidengimą bei bet kurį tls-auth ar tls-crypt raktą. Didelė sertifikatų grandinė taip pat gali nepavykti ties kelio MTU prieš baigiantis bet kokiai autentifikacijai, o tai atrodo kaip skirtasis laikas, o ne kriptografinė klaida.

Valdymo gedimus taisykite valdymo nustatymais. Duomenų šifro padidinimas ar duomenų autentifikavimo politikos sušvelninimas neužbaigs rankos paspaudimo, kuris niekada neperžengė sertifikatų mainų.

Patikrinkite duomenų kanalą atskirai

Kai sesija pakilusi, patvirtinkite suderintą duomenų šifrą ir režimą, raktų išvedimą ir rakto atnaujinimo elgseną. OpenVPN atveju duomenų kanalo eilutė nurodo faktiškai inicijuotą šifrą ir rakto dydį, ir jie gali skirtis nuo pirmojo šifro profilyje.

Tada patikrinkite, ką sesija įdiegė. PUSH_REPLY gali pridėti maršrutus, DNS serverį ir redirect-gateway direktyvą, ir bet kuris iš jų gali nusiųsti srautą ten, kur programa negali jo naudoti. IKEv2 atveju lygiavertis klausimas yra tai, ar CHILD asociacijos selektoriai atitinka faktinio srauto adresus.

tls-auth ir tls-crypt priklauso valdymo kanalui. Jie autentifikuoja arba šifruoja rankos paspaudimą ir nepasirenka programos duomenų šifro. Jei vieną iš jų pridedate tikėdamiesi duomenų kelio pakeitimo, vienintelis dalykas, kurį pakeitėte, yra rankos paspaudimas.

Susiekite pavadinimus su IKEv2 ir OpenVPN

IKEv2 turi IKE saugumo asociaciją ir vieną ar daugiau CHILD asociacijų. IKE asociacija perduoda valdymo mainus; CHILD asociacija perduoda apsaugotą srautą ir jo selektorius. Jie deramasi ir raktai atnaujinami pagal atskirus grafikus, todėl viena gali būti sveika, o kita ne.

ESP neturi viduje TLS stiliaus valdymo kanalo. Valdymo protokolas yra IKE, o ESP yra apsaugotas naudingasis krovinys. Vadinti ESP duomenų kanalu yra laisvas sutrumpinimas, kuris tampa klaidinančiu skaitant paketų įrašą, nes įrašas rodo IKE pranešimus ir ESP paketus kaip skirtingus protokolus linijoje.

Laikykite atitikmenį aiškiai savo užrašuose: OpenVPN valdymo kanalas ir IKE SA yra valdymo pusė, OpenVPN duomenų kanalas ir CHILD SA yra srauto pusė, o realizacijos nėra keičiamos net tada, kai skirstymas atrodo panašus.

Nustokite keisti netinkamą nustatymą

Pereikite kelią viena kryptimi: valdymo mainai, duomenų apsauga, persiuntimas, tada vardų sprendimas. Sustokite prie pirmo nepavykusio etapo ir taisykite tik tą etapą. Prisijungusi sesija, kurioje ping į tinklų sietuvą veikia, bet nėra programos srauto, yra persiuntimo ar selektorių problema, o ne rankos paspaudimo problema.

Užrašykite kiekvieno etapo įrodymus atskirai biliete: valdymo žurnalo eilutę, suderintus duomenų parametrus, įdiegtus maršrutus ir vieną tikrą užklausą. Ši struktūra neleidžia susilpninti veikiančios tapatybės patikros, kad būtų ištaisyta vėlesnė maršrutizavimo problema, kurios ji niekada nesukėlė, ir neleidžia parduoti duomenų šifro pakeitimo kaip sertifikato klaidos sprendimo.

OpenVPN protokolo dokumentacija yra valdymo ir duomenų skirstymo nuoroda; naudokite ją, kai tiekėjo sąsaja tiems patiems dviem veiksmams vartoja kitus žodžius.