VPN നിയന്ത്രണ, ഡാറ്റ ചാനലുകൾ: ശരിയായ പാളി പരിശോധിക്കുക

ക്ലയന്റ് കണക്ട് ചെയ്തു എന്ന് പറയുന്നു, സെർവർ ഒരു പങ്കാളിയെ കാണുന്നു, എന്നിട്ടും ആപ്ലിക്കേഷൻ എങ്ങും എത്തുന്നില്ല. ആ നിമിഷത്തിൽ ഉപയോഗപ്രദമായ ചോദ്യം ഏത് സൈഫർ മാറ്റണം എന്നതല്ല, ഏത് ചാനൽ പരാജയപ്പെട്ടു എന്നതാണ്. OpenVPN രണ്ട് പ്രവർത്തനങ്ങൾ വ്യക്തമായി പേരിടുന്നു: സെഷനെക്കുറിച്ച് ചർച്ച ചെയ്ത് അത് നിയന്ത്രിക്കുന്ന നിയന്ത്രണ ചാനൽ, സംരക്ഷിത ട്രാഫിക് കൊണ്ടുപോകുന്ന ഡാറ്റ ചാനൽ. IKEv2 സമാനമായ വിഭജനം IKE അസോസിയേഷനും CHILD അസോസിയേഷനും വഴി പ്രകടിപ്പിക്കുന്നു. താഴെയുള്ള പരിശോധനകൾ ക്രമത്തിൽ ചെയ്യുക, കാരണം നിയന്ത്രണ പാതയിലെ തകരാറിൽ ഡാറ്റ പാതയുടെ തിരുത്തൽ പ്രയോഗിക്കുന്നത് മാറ്റത്തിന്റെ ജാലകം പാഴാക്കുന്നു.

ഡീബഗ് ചെയ്യുന്നതിന് മുൻപ് ചാനലിന് പേരിടുക

നിയന്ത്രണ വശം സുരക്ഷാ വസ്തുവിനെക്കുറിച്ച് ചർച്ച ചെയ്യുന്നു, പങ്കാളികളെ പ്രാമാണീകരിക്കുന്നു, ബന്ധം നിയന്ത്രിക്കുന്നു. ആവശ്യമായ അവസ്ഥ ഉണ്ടായാൽ ഡാറ്റ വശം തിരഞ്ഞെടുത്ത ട്രാഫിക് കൊണ്ടുപോകുന്നു.

അവ വ്യത്യസ്ത രീതിയിൽ പരാജയപ്പെടുന്നു. നിയന്ത്രണ പരാജയം സാധാരണയായി ഉപയോഗയോഗ്യമായ സെഷൻ ഒന്നുമില്ലാതെ നിങ്ങളെ വിടുന്നു, അല്ലെങ്കിൽ ലൂപ്പിൽ വീണ്ടും ചർച്ച ചെയ്യുന്ന സെഷനോടെ വിടുന്നു. ഡാറ്റ പരാജയം ആരോഗ്യകരമായി കാണുന്ന ഒരു സെഷൻ വിടുന്നു, പക്ഷേ പാക്കറ്റുകൾ ഉപേക്ഷിക്കപ്പെടുന്നു, തെറ്റായി റൂട്ട് ചെയ്യപ്പെടുന്നു, അല്ലെങ്കിൽ എതിർവശം സ്വീകരിക്കാത്ത പാരാമീറ്ററുകൾ കൊണ്ട് സംരക്ഷിക്കപ്പെടുന്നു. നിങ്ങൾ വായിക്കുന്ന ലോഗ് വരി ഏത് അവസ്ഥയിലാണെന്ന് പറയുന്നു, അതിനാൽ പിശക് പാഠത്തിന് മുൻപ് ലേബൽ വായിക്കുക.

നിയന്ത്രണ കൈമാറ്റം പരിശോധിക്കുക

ഹാൻഡ്ഷേക്ക് പൂർത്തിയാകുന്നുവെന്നും ഇരുവശവും ഗതാഗതം, TLS പതിപ്പ്, പ്രാമാണീകരണ രീതി എന്നിവയിൽ യോജിക്കുന്നുവെന്നും ഉറപ്പാക്കുക. OpenVPN ലോഗുകൾ നിയന്ത്രണ ചാനലിനും ഡാറ്റ ചാനലിനും വെവ്വേറെ വരികൾ അച്ചടിക്കുന്നു, സർട്ടിഫിക്കറ്റ്, TLS പതിപ്പ് അല്ലെങ്കിൽ tls-crypt പൊരുത്തക്കേട് നിയന്ത്രണ വരിയിലാണ് കാണുന്നത്.

നിയന്ത്രണ കൈമാറ്റം പരാജയപ്പെട്ടാൽ എത്താവുന്ന പോർട്ട്, സർട്ടിഫിക്കറ്റ് ശൃംഖലയും അതിന്റെ സാധുത തീയതികളും, സിസ്റ്റം ഘടികാരം, ക്ലയന്റും സെർവറും തമ്മിലുള്ള സൈഫർ ഓവർലാപ്പ്, ഏതെങ്കിലും tls-auth അല്ലെങ്കിൽ tls-crypt കീ എന്നിവ നോക്കുക. വലിയ സർട്ടിഫിക്കറ്റ് ശൃംഖല ഏതെങ്കിലും പ്രാമാണീകരണം പൂർത്തിയാകുന്നതിന് മുൻപ് പാതയുടെ MTU-യിലും പരാജയപ്പെടാം, അത് സമയപരിധി കഴിഞ്ഞതുപോലെ തോന്നും, ക്രിപ്റ്റോഗ്രാഫിക് പിശകുപോലെയല്ല.

നിയന്ത്രണ തകരാറുകൾ നിയന്ത്രണ ക്രമീകരണങ്ങൾ കൊണ്ട് പരിഹരിക്കുക. ഡാറ്റ സൈഫർ ഉയർത്തുന്നതോ ഡാറ്റ പ്രാമാണീകരണ നയം അയയ്ക്കുന്നതോ സർട്ടിഫിക്കറ്റ് കൈമാറ്റം കടന്നുപോകാത്ത ഒരു ഹാൻഡ്ഷേക്ക് പൂർത്തിയാക്കില്ല.

ഡാറ്റ ചാനൽ വെവ്വേറെ പരിശോധിക്കുക

സെഷൻ ഉയർന്നാൽ യോജിച്ച ഡാറ്റ സൈഫറും മോഡും, കീ ഉത്പാദനവും കീ പുതുക്കലിന്റെ സ്വഭാവവും ഉറപ്പാക്കുക. OpenVPN-ൽ ഡാറ്റ ചാനൽ വരി യഥാർത്ഥത്തിൽ ആരംഭിച്ച സൈഫറും കീ വലുപ്പവും പേരിടുന്നു, അവ പ്രൊഫൈലിലെ ആദ്യ സൈഫറിൽ നിന്ന് വ്യത്യസ്തമായിരിക്കാം.

തുടർന്ന് സെഷൻ എന്ത് ഇൻസ്റ്റാൾ ചെയ്തു എന്ന് പരിശോധിക്കുക. PUSH_REPLY റൂട്ടുകൾ, DNS സെർവർ, redirect-gateway നിർദ്ദേശം എന്നിവ ചേർക്കാം, അവയിലേതെങ്കിലും ആപ്ലിക്കേഷന് ഉപയോഗിക്കാനാവാത്ത ഇടത്തേക്ക് ട്രാഫിക് അയക്കാം. IKEv2-ന് തുല്യമായ ചോദ്യം CHILD അസോസിയേഷന്റെ സെലക്ടറുകൾ യഥാർത്ഥ പ്രവാഹത്തിലെ വിലാസങ്ങളുമായി യോജിക്കുന്നുവോ എന്നതാണ്.

tls-auth, tls-crypt എന്നിവ നിയന്ത്രണ ചാനലിൽ പെടുന്നു. അവ ഹാൻഡ്ഷേക്ക് പ്രാമാണീകരിക്കുകയോ എൻക്രിപ്റ്റ് ചെയ്യുകയോ ചെയ്യുന്നു, ആപ്ലിക്കേഷന്റെ ഡാറ്റ സൈഫർ തിരഞ്ഞെടുക്കുന്നില്ല. ഡാറ്റ പാതയിൽ മാറ്റം പ്രതീക്ഷിച്ച് അവയിലൊന്ന് ചേർത്താൽ നിങ്ങൾ മാറ്റിയ ഒരേയൊരു കാര്യം ഹാൻഡ്ഷേക്കാണ്.

പേരുകൾ IKEv2, OpenVPN എന്നിവയുമായി ബന്ധിപ്പിക്കുക

IKEv2-ന് ഒരു IKE സുരക്ഷാ അസോസിയേഷനും ഒന്നോ അതിലധികമോ CHILD അസോസിയേഷനുകളും ഉണ്ട്. IKE അസോസിയേഷൻ നിയന്ത്രണ കൈമാറ്റങ്ങൾ കൊണ്ടുപോകുന്നു; CHILD അസോസിയേഷൻ സംരക്ഷിത ട്രാഫിക്കും അതിന്റെ സെലക്ടറുകളും കൊണ്ടുപോകുന്നു. അവ വെവ്വേറെ ഷെഡ്യൂളുകളിൽ ചർച്ച ചെയ്യപ്പെടുകയും കീകൾ പുതുക്കപ്പെടുകയും ചെയ്യുന്നു, അതിനാൽ ഒന്ന് ആരോഗ്യകരമായിരിക്കുമ്പോൾ മറ്റൊന്ന് അങ്ങനെയല്ലാതിരിക്കാം.

ESP-യുടെ ഉള്ളിൽ TLS ശൈലിയിലുള്ള നിയന്ത്രണ ചാനൽ ഇല്ല. നിയന്ത്രണ പ്രോട്ടോക്കോൾ IKE ആണ്, ESP സംരക്ഷിത പേലോഡാണ്. ESP-യെ ഡാറ്റ ചാനൽ എന്ന് വിളിക്കുന്നത് അയഞ്ഞ ചുരുക്കമാണ്, പാക്കറ്റ് ക്യാപ്ചർ വായിക്കുമ്പോൾ അത് ആശയക്കുഴപ്പമുണ്ടാക്കുന്നു, കാരണം ക്യാപ്ചർ വയറിൽ IKE സന്ദേശങ്ങളും ESP പാക്കറ്റുകളും വ്യത്യസ്ത പ്രോട്ടോക്കോളുകളായി കാണിക്കുന്നു.

നിങ്ങളുടെ കുറിപ്പുകളിൽ ബന്ധം വ്യക്തമായി സൂക്ഷിക്കുക: OpenVPN നിയന്ത്രണ ചാനലും IKE SA-ഉം കൈകാര്യം ചെയ്യുന്ന വശമാണ്, OpenVPN ഡാറ്റ ചാനലും CHILD SA-ഉം ട്രാഫിക് വശമാണ്, വിഭജനം സമാനമായി തോന്നിയാലും നടപ്പാക്കലുകൾ പരസ്പരം മാറ്റാനാവില്ല.

തെറ്റായ ക്രമീകരണം മാറ്റുന്നത് നിർത്തുക

പാത ഒരു ദിശയിൽ സഞ്ചരിക്കുക: നിയന്ത്രണ കൈമാറ്റം, ഡാറ്റ സംരക്ഷണം, ഫോർവേഡിംഗ്, തുടർന്ന് നാമ വിശകലനം. ആദ്യം പരാജയപ്പെടുന്ന ഘട്ടത്തിൽ നിർത്തി ആ ഘട്ടം മാത്രം പരിഹരിക്കുക. ഗേറ്റ്‌വേയിലേക്ക് പിംഗ് പ്രവർത്തിക്കുന്നെങ്കിലും ആപ്ലിക്കേഷൻ ട്രാഫിക് ഇല്ലാത്ത കണക്ട് ചെയ്ത സെഷൻ ഫോർവേഡിംഗിന്റെയോ സെലക്ടറുകളുടെയോ പ്രശ്നമാണ്, ഹാൻഡ്ഷേക്ക് പ്രശ്നമല്ല.

ഓരോ ഘട്ടത്തിന്റെയും തെളിവ് ടിക്കറ്റിൽ വെവ്വേറെ എഴുതുക: നിയന്ത്രണ ലോഗ് വരി, യോജിച്ച ഡാറ്റ പാരാമീറ്ററുകൾ, ഇൻസ്റ്റാൾ ചെയ്ത റൂട്ടുകൾ, ഒരു യഥാർത്ഥ അഭ്യർത്ഥന. ആ ഘടന പ്രവർത്തിക്കുന്ന ഐഡന്റിറ്റി പരിശോധനയെ ദുർബലമാക്കി അത് ഒരിക്കലും ഉണ്ടാക്കാത്ത പിന്നീടുള്ള റൂട്ടിംഗ് പ്രശ്നം പരിഹരിക്കുന്നത് തടയുന്നു, ഡാറ്റ സൈഫർ മാറ്റം സർട്ടിഫിക്കറ്റ് പിശകിന്റെ പരിഹാരമായി വിൽക്കുന്നതും തടയുന്നു.

OpenVPN പ്രോട്ടോക്കോൾ ഡോക്യുമെന്റേഷൻ നിയന്ത്രണ-ഡാറ്റ വിഭജനത്തിന്റെ റഫറൻസാണ്; വിൽപ്പനക്കാരന്റെ ഇന്റർഫേസ് അതേ രണ്ട് പ്രവർത്തനങ്ങൾക്ക് വേറെ വാക്കുകൾ ഉപയോഗിക്കുമ്പോൾ അത് ഉപയോഗിക്കുക.