VPN контролен и податочен канал: проверете го вистинскиот слој

Клиентот вели дека е поврзан, серверот гледа партнер, а апликацијата ни понатаму не стигнува никаде. Во тој момент корисното прашање не е кој шифар да се смени, туку кој канал откажа. OpenVPN експлицитно именува две функции: контролен канал што преговара за сесијата и ја управува, и податочен канал што го носи заштитениот сообраќај. IKEv2 изразува слична поделба преку IKE асоцијацијата и CHILD асоцијацијата. Изведете ги проверките подолу по ред, бидејќи поправка на патеката на податоци применета на дефект во контролната патека го троши прозорецот за промена.

Именувајте го каналот пред да го отстранувате дефектот

Контролната страна преговара за безбедносен материјал, автентифицира партнери и управува со врската. Податочната страна го носи избраниот сообраќај откако постои потребната состојба.

Тие откажуваат различно. Контролен дефект обично ве остава без никаква употреблива сесија, или со сесија што повторно преговара во јамка. Податочен дефект остава сесија што изгледа здрава, додека пакетите се отфрлаат, погрешно се рутираат или се заштитуваат со параметри што спротивната страна нема да ги прифати. Линијата од дневникот што ја читате ви кажува во кој од двата случаи сте, затоа прочитајте ја ознаката пред текстот на грешката.

Проверете ја контролната размена

Потврдете дека ракувањето се завршува и дека двете страни се согласни за транспортот, верзијата на TLS и методот на автентикација. OpenVPN дневниците печатат одделни линии за контролниот канал и за податочниот канал, и токму во контролната линија се појавува несовпаѓање на сертификат, верзија на TLS или tls-crypt.

Ако контролната размена откаже, погледнете го достапниот порт, синџирот сертификати и неговите датуми на важност, системскиот часовник, преклопувањето на шифри меѓу клиентот и серверот и секој клуч tls-auth или tls-crypt. Голем синџир сертификати може да откаже и на MTU на патеката пред да заврши која било автентикација, што изгледа како истек на време, а не како криптографска грешка.

Поправајте ги контролните дефекти со контролни поставки. Подигнувањето на податочната шифра или олеснувањето на политиката за автентикација на податоци нема да заврши ракување што никогаш не го поминало разменувањето сертификати.

Проверете го податочниот канал одделно

Кога сесијата е крената, потврдете договорената податочна шифра и режим, изведувањето на клучеви и однесувањето при обновување на клуч. Во OpenVPN, линијата на податочниот канал ја наведува шифрата и големината на клучот што навистина се иницијализирани, и тие може да се разликуваат од првата шифра во профилот.

Потоа проверете што инсталирала сесијата. PUSH_REPLY може да додаде рути, DNS сервер и директива redirect-gateway, и секое од нив може да испрати сообраќај таму каде апликацијата не може да го користи. За IKEv2, еквивалентното прашање е дали селекторите на CHILD асоцијацијата одговараат на адресите во вистинскиот тек.

tls-auth и tls-crypt припаѓаат на контролниот канал. Тие го автентифицираат или шифрираат ракувањето и не ја избираат податочната шифра на апликацијата. Ако додадете еден од нив очекувајќи промена на патеката на податоци, единственото што сте го смениле е ракувањето.

Поврзете ги имињата со IKEv2 и OpenVPN

IKEv2 има IKE безбедносна асоцијација и една или повеќе CHILD асоцијации. IKE асоцијацијата ги носи контролните размени; CHILD асоцијацијата го носи заштитениот сообраќај и неговите селектори. Тие се преговараат и клучевите им се обновуваат по одделни распореди, така што едната може да е здрава, а другата не.

ESP нема внатре контролен канал во стил на TLS. Контролниот протокол е IKE, а ESP е заштитениот товар. Да се нарече ESP податочен канал е лабава кратенка што станува збунувачка кога читате снимање на пакети, бидејќи снимањето ги прикажува IKE пораките и ESP пакетите како различни протоколи на линијата.

Држете го совпаѓањето јасно во вашите белешки: OpenVPN контролниот канал и IKE SA се управната страна, OpenVPN податочниот канал и CHILD SA се сообраќајната страна, и имплементациите не се заменливи дури и кога поделбата изгледа слично.

Престанете да ја менувате погрешната поставка

Поминете ја патеката во една насока: контролна размена, заштита на податоци, препраќање, потоа разрешување имиња. Запрете на првата фаза што откажува и поправете ја само таа фаза. Поврзана сесија со пинг што работи до портата, но без сообраќај од апликацијата, е проблем со препраќањето или селекторите, а не со ракувањето.

Запишете ги доказите за секоја фаза одделно во тикетот: линијата од контролниот дневник, договорените податочни параметри, инсталираните рути и едно вистинско барање. Таа структура спречува ослабување на работечка проверка на идентитетот за да се поправи подоцнежен проблем со рутирањето што таа никогаш не го предизвикала, и спречува продавање на промена на податочната шифра како поправка на грешка во сертификат.

Документацијата на протоколот OpenVPN е референца за поделбата меѓу контрола и податоци; користете ја кога интерфејсот на добавувачот користи други зборови за истите две функции.