VPN vadības un datu kanāli: pārbaudiet pareizo slāni

Klients saka, ka ir savienots, serveris redz partneri, un lietotne joprojām neko nesasniedz. Tajā brīdī noderīgais jautājums nav, kuru šifru mainīt, bet gan kurš kanāls sabojājās. OpenVPN skaidri nosauc divas funkcijas: vadības kanālu, kas vienojas par sesiju un to pārvalda, un datu kanālu, kas pārnēsā aizsargāto plūsmu. IKEv2 izsaka līdzīgu sadalījumu ar IKE asociāciju un CHILD asociāciju. Veiciet tālāk minētās pārbaudes secīgi, jo datu ceļa labojums, kas piemērots vadības ceļa kļūmei, izšķiež izmaiņu logu.

Nosauciet kanālu pirms atkļūdošanas

Vadības puse vienojas par drošības materiālu, autentificē partnerus un pārvalda savienojumu. Datu puse pārnēsā izvēlēto plūsmu, kad nepieciešamais stāvoklis pastāv.

Tie sabojājas atšķirīgi. Vadības kļūme parasti atstāj jūs bez jebkādas lietojamas sesijas vai ar sesiju, kas cilpā atkārtoti vienojas. Datu kļūme atstāj sesiju, kas izskatās vesela, kamēr paketes tiek izmestas, nepareizi maršrutētas vai aizsargātas ar parametriem, ko pretējā puse nepieņems. Žurnāla rinda, ko lasāt, pasaka, kurā no abiem gadījumiem esat, tāpēc lasiet etiķeti pirms kļūdas teksta.

Pārbaudiet vadības apmaiņu

Pārliecinieties, ka rokas sasveicināšanās tiek pabeigta un ka abas puses vienojas par transportu, TLS versiju un autentifikācijas metodi. OpenVPN žurnāli izdrukā atsevišķas vadības un datu kanāla rindas, un tieši vadības rindā parādās sertifikāta, TLS versijas vai tls-crypt nesakritība.

Ja vadības apmaiņa neizdodas, apskatiet sasniedzamo portu, sertifikātu ķēdi un tās derīguma datumus, sistēmas pulksteni, klienta un servera šifru pārklāšanos un jebkuru tls-auth vai tls-crypt atslēgu. Liela sertifikātu ķēde var neizdoties arī ceļa MTU pirms jebkuras autentifikācijas pabeigšanas, un tas izskatās kā taimauts, nevis kriptogrāfiska kļūda.

Labojiet vadības kļūmes ar vadības iestatījumiem. Datu šifra paaugstināšana vai datu autentifikācijas politikas mīkstināšana nepabeigs rokas sasveicināšanos, kas nekad netika tālāk par sertifikātu apmaiņu.

Pārbaudiet datu kanālu atsevišķi

Kad sesija ir uzcelta, apstipriniet saskaņoto datu šifru un režīmu, atslēgu atvasināšanu un atslēgas atjaunošanas uzvedību. OpenVPN gadījumā datu kanāla rinda nosauc faktiski inicializēto šifru un atslēgas izmēru, un tie var atšķirties no profila pirmā šifra.

Pēc tam pārbaudiet, ko sesija instalēja. PUSH_REPLY var pievienot maršrutus, DNS serveri un redirect-gateway direktīvu, un jebkurš no tiem var nosūtīt plūsmu tur, kur lietotne to nevar izmantot. IKEv2 gadījumā līdzvērtīgais jautājums ir, vai CHILD asociācijas selektori atbilst faktiskās plūsmas adresēm.

tls-auth un tls-crypt pieder vadības kanālam. Tie autentificē vai šifrē rokas sasveicināšanos un neizvēlas lietotnes datu šifru. Ja pievienojat vienu no tiem, gaidot datu ceļa izmaiņas, vienīgais, ko esat mainījis, ir rokas sasveicināšanās.

Saistiet nosaukumus ar IKEv2 un OpenVPN

IKEv2 ir IKE drošības asociācija un viena vai vairākas CHILD asociācijas. IKE asociācija pārnēsā vadības apmaiņas; CHILD asociācija pārnēsā aizsargāto plūsmu un tās selektorus. Tās tiek saskaņotas un atslēgas atjaunotas pēc atsevišķiem grafikiem, tāpēc viena var būt vesela, kamēr otra nav.

ESP iekšienē nav TLS stila vadības kanāla. Vadības protokols ir IKE, un ESP ir aizsargātā kravne. Saukt ESP par datu kanālu ir vaļīgs saīsinājums, kas kļūst mulsinošs, lasot paketes ierakstu, jo ieraksts rāda IKE ziņojumus un ESP paketes kā dažādus protokolus uz līnijas.

Turiet atbilstību skaidru savās piezīmēs: OpenVPN vadības kanāls un IKE SA ir pārvaldības puse, OpenVPN datu kanāls un CHILD SA ir plūsmas puse, un ieviešanas nav savstarpēji aizvietojamas arī tad, ja sadalījums izskatās līdzīgs.

Pārtrauciet mainīt nepareizo iestatījumu

Izejiet ceļu vienā virzienā: vadības apmaiņa, datu aizsardzība, pārsūtīšana, tad vārdu izšķiršana. Apstājieties pie pirmā neveiksmīgā posma un labojiet tikai to posmu. Savienota sesija, kurā ping uz vārteju darbojas, bet lietotnes plūsmas nav, ir pārsūtīšanas vai selektoru problēma, nevis rokas sasveicināšanās problēma.

Pierakstiet katra posma pierādījumus atsevišķi biļetē: vadības žurnāla rindu, saskaņotos datu parametrus, instalētos maršrutus un vienu īstu pieprasījumu. Šī struktūra neļauj vājināt strādājošu identitātes pārbaudi, lai salabotu vēlāku maršrutēšanas problēmu, ko tā nekad nav izraisījusi, un neļauj pārdot datu šifra maiņu kā sertifikāta kļūdas labojumu.

OpenVPN protokola dokumentācija ir atsauce uz vadības un datu sadalījumu; izmantojiet to, kad piegādātāja saskarne tiem pašiem diviem uzdevumiem lieto citus vārdus.