VPN rankos paspaudimo žingsniai: kas vyksta prieš pradedant tekėti srautui

Paspaudus Prisijungti pradedamos keturios atskiros užduotys, kurios pavyksta arba nepavyksta nepriklausomai viena nuo kitos. Klientas turi pasiekti klausytoją, susitarti, kas yra partneris, išvesti raktus ir tada perduoti veikiantį tunelį likusiai sistemai. Dauguma nepavykusių ryšių diagnozuojami ne toje užduotyje. Todėl pirmoji klaida svarbesnė už trečią bandymą.

Pirmiausia pasiekite klausytoją

Prieš pasikeičiant bet kokiai tapatybei, klientas išsprendžia vardą, pasirenka maršrutą ir atidaro transportą į prievadą. Portalas, kuris atsako į viską, uždarytas prievadas ir neteisingas prieglobos vardas čia nepavyksta, ir nė vienas iš jų nėra autentifikacijos problema. Slaptažodžio pakeitimas negali pataisyti nė vieno iš trijų. Perskaitykite pirmąją klaidos eilutę prieš liesdami prisijungimo duomenis.

Laiko limitas, sertifikato atmetimas ir atmesta paskyra yra trys skirtingi gedimai su trimis skirtingomis patikromis. Jų pirmas išrūšiavimas yra tai, kas neleidžia tinklo problemos taisyti kaip prisijungimo duomenų problemos.

Įrodykite partnerį, tada išveskite raktus

Kiekvienam protokolui reikia būdo atpažinti numatytą serverį, nesvarbu, ar tai sukonfigūruotas viešasis raktas, ar sertifikatų grandinė. Naudotojo prisijungimas yra tos patikros papildymas, o ne pakaitalas. Serveris, kuris priima jūsų slaptažodį, nieko neįrodė apie savo pačio tapatybę. Todėl bendra paslaptis, įvesta kliente, nepakeičia patikros, kas atsakė.

Tada mainai išveda srauto raktus iš paties protokolo įvesčių, o prisijungimo slaptažodis paprastai nėra raktas, įspaudžiamas ant kiekvieno paketo. Ilgalaikė tapatybės medžiaga ir trumpalaikiai sesijos raktai turi skirtingą gyvavimo laiką ir skirtingas užduotis. Būtent apie šį atskyrimą ir kalbama kalbant apie persiuntimo slaptumą.

Tvarkydami problemas palikite patikrą įjungtą, nes tunelis, kuris prisijungia po to, kai išjungiate patikrą, neįrodė nieko, išskyrus tai, kad patikra ką nors darė. Užsirašykite, ką pakeitėte, ir grąžinkite prieš kitą testą.

Trys protokolai, trys pokalbiai

TLS pagrindu veikiančiame OpenVPN diegime valdymo kanalas derasi dėl saugumo parametrų, o duomenų kanalas perduoda tunelio srautą, todėl duomenų kanalo parinktis ir sertifikato problema gyvena skirtingose vietose. IKEv2 autentifikuoja abu dalyvius ir tada sukuria IPsec saugumo asociacijas su savo galiojimo laikais. WireGuard išveda raktus per savo Noise pagrindu veikiančius mainus ir sąmoningai laiko būsenos mašiną mažą. Žinojimas, kurį iš trijų vykdote, nulemia, kurį žurnalą verta skaityti.

Panašiai atrodantys klientai nereiškia, kad žinutės žemiau yra keičiamos, o konfigūracijos laukas, esantis viename produkte, gali neturėti atitikmens kitame. Profilio kopijavimas tarp jų yra spėjimas, o ne migracija.

Ko rankos paspaudimas nedaro

Maršrutai, vardų sprendimas ir paskirties politika visi lieka po to. Vidinė svetainė gali likti nepasiekiama, nes trūksta jos potinklio maršruto, nors partneris buvo teisingai autentifikuotas ir tunelis veikia. Traktuoti tai kaip silpną šifravimą nukreipia jus ieškoti ne tame sluoksnyje, ir tai dažniausiai baigiasi šifro pakeitimu, kuris nieko nepataiso.

Raktų atnaujinimas ir prisijungimas iš naujo taip pat atrodo panašiai daugumoje būsenos rodinių, ir nė vienas nepasako, ar įprastas srautas buvo užblokuotas per pertrauką. Tik kliento gedimo politika atsako į šį klausimą, todėl skaitykite politiką, o ne piktogramą.

Atlikite etapus aukščiau nurodyta tvarka ir sustokite ties pirmuoju, kuris sukuria klaidą. Kiekvienas vėlesnis etapas paveldi ankstesnių būseną, todėl trečio etapo gedimas nieko nesako apie ketvirtą.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal