VPN rokasspiediena soļi: kas notiek pirms trafika plūsmas

Nospiežot Savienot, tiek palaisti četri atsevišķi uzdevumi, kas izdodas vai neizdodas neatkarīgi. Klientam jāsasniedz klausītājs, jāvienojas, kas ir partneris, jāatvasina atslēgas un pēc tam jānodod strādājošs tunelis pārējai sistēmai. Lielākā daļa neizdevušos savienojumu tiek diagnosticēti nepareizajā uzdevumā. Tāpēc pirmā kļūda ir svarīgāka par trešo mēģinājumu.

Vispirms sasniedziet klausītāju

Pirms tiek apmainīta jebkāda identitāte, klients atrisina vārdu, izvēlas maršrutu un atver transportu uz portu. Portāls, kas atbild uz visu, slēgts ports un nepareizs resursdatora nosaukums šeit neizdodas, un neviens no tiem nav autentifikācijas problēma. Paroles maiņa nevar salabot nevienu no trim. Izlasiet kļūdas pirmo rindu pirms pieskarties akreditācijas datiem.

Taimauts, sertifikāta noraidījums un noraidīts konts ir trīs dažādas kļūdas ar trim dažādām pārbaudēm. To pirmā šķirošana ir tas, kas neļauj tīkla problēmu atkļūdot kā akreditācijas datu problēmu.

Pierādiet partneri, pēc tam atvasiniet atslēgas

Katram protokolam vajadzīgs veids, kā atpazīt paredzēto serveri, vai nu ar konfigurētu publisko atslēgu, vai sertifikātu ķēdi. Lietotāja pieteikšanās ir papildinājums šai pārbaudei, nevis tās aizstājējs. Serveris, kas pieņem jūsu paroli, nav pierādījis neko par savu identitāti. Tāpēc klientā ierakstīts kopīgs noslēpums neaizstāj pārbaudi, kas atbildēja.

Pēc tam apmaiņa atvasina trafika atslēgas no paša protokola ievadēm, un pieteikšanās parole parasti nav atslēga, kas tiek iespiesta uz katra paketes. Ilgtermiņa identitātes materiālam un īslaicīgām sesijas atslēgām ir atšķirīgs mūžs un dažādi uzdevumi. Tieši par šo atdalīšanu ir runa, kad runā par uz priekšu vērstu slepenību.

Atstājiet pārbaudi ieslēgtu problēmu risināšanas laikā, jo tunelis, kas savienojas pēc tam, kad esat atslēdzis pārbaudi, nav pierādījis neko citu kā to, ka pārbaude kaut ko darīja. Pierakstiet, ko mainījāt, un pirms nākamā testa atgrieziet to atpakaļ.

Trīs protokoli, trīs sarunas

Uz TLS balstītā OpenVPN izvietojumā vadības kanāls pārrunā drošības parametrus, kamēr datu kanāls pārvadā tuneļa trafiku, tāpēc datu kanāla opcija un sertifikāta problēma atrodas dažādās vietās. IKEv2 autentificē abus dalībniekus un pēc tam izveido IPsec drošības asociācijas ar saviem termiņiem. WireGuard atvasina atslēgas ar savu uz Noise balstīto apmaiņu un apzināti uztur stāvokļa mašīnu mazu. Zināšana, kuru no trim jūs darbinat, nosaka, kuru žurnālu ir vērts lasīt.

Līdzīgi izskatāmie klienti nenozīmē, ka ziņojumi apakšā ir apmaināmi, un konfigurācijas laukam, kas pastāv vienā produktā, otrā var nebūt ekvivalenta. Profila kopēšana starp tiem ir minējums, nevis migrācija.

Ko rokasspiediens nedara

Maršruti, nosaukumu izšķiršana un galamērķa politika visi paliek pēc tam. Iekšējā vietne var palikt nesasniedzama, jo trūkst tās apakštīkla maršruta, pat ja partneris ir pareizi autentificēts un tunelis darbojas. Uzskatīt to par vāju šifrēšanu aizsūta jūs meklēt nepareizajā slānī, un tas parasti beidzas ar šifra maiņu, kas neko nelabo.

Atslēgu atjaunošana un atkārtota savienošanās arī izskatās līdzīgi lielākajā daļā statusa displeju, un neviens no tiem nepasaka, vai pārtraukuma laikā parastais trafiks tika bloķēts. Tikai klienta kļūmes politika atbild uz šo jautājumu, tāpēc lasiet politiku, nevis ikonu.

Veiciet posmus iepriekš norādītajā secībā un apstājieties pie pirmā, kas rada kļūdu. Katrs nākamais posms manto iepriekšējo stāvokli, tāpēc trešā posma kļūme neko nepasaka par ceturto.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal