VPN хяналтын болон өгөгдлийн суваг: зөв давхаргыг шалгана уу

Клиент холбогдсон гэж хэлнэ, сервер нэг түншийг харна, гэвч програм юу ч хүрэхгүй хэвээр байна. Тэр үед хэрэгтэй асуулт аль шифрийг солих биш, аль суваг бүтэлгүйтсэн бэ гэдэг юм. OpenVPN хоёр функцийг тодорхой нэрлэдэг: сессийг хэлэлцэж удирддаг хяналтын суваг, хамгаалагдсан урсгалыг дамжуулдаг өгөгдлийн суваг. IKEv2 ижил төстэй хуваалтыг IKE холбоо болон CHILD холбоогоор илэрхийлдэг. Доорх шалгалтыг дарааллаар гүйцэтгэнэ үү, учир нь хяналтын зам дахь гэмтэлд өгөгдлийн замын засвар хэрэглэх нь өөрчлөлтийн цонхыг үрэгдүүлдэг.

Дибаг хийхээс өмнө сувгийг нэрлэ

Хяналтын тал аюулгүй байдлын материал дээр хэлэлцэж, түншүүдийг баталгаажуулж, холболтыг удирддаг. Өгөгдлийн тал шаардлагатай төлөв үүссэний дараа сонгосон урсгалыг дамжуулдаг.

Тэд өөр өөрөөр бүтэлгүйтдэг. Хяналтын гэмтэл таныг ашиглах боломжтой сессийгүй үлдээх, эсвэл давталтад дахин хэлэлцдэг сессийг үлдээдэг. Өгөгдлийн гэмтэл эрүүл харагдах сессийг үлдээдэг боловч пакетууд хасагдаж, буруу чиглүүлэгдэж, эсвэл нөгөө тал хүлээж авахгүй параметрээр хамгаалагддаг. Таны уншиж буй лог мөр аль тохиолдолд байгааг хэлнэ, тиймээс алдааны текстийн өмнө шошгыг уншаарай.

Хяналтын солилцоог шалга

Гар барилт дуусаж, хоёр тал тээвэр, TLS хувилбар, баталгаажуулалтын арга дээр санал нийлж байгааг баталгаажуул. OpenVPN логууд хяналтын суваг болон өгөгдлийн сувгийн тусдаа мөр хэвлэдэг бөгөөд сертификат, TLS хувилбар эсвэл tls-crypt-ийн зөрүү яг хяналтын мөрөнд гардаг.

Хяналтын солилцоо бүтэлгүйтвэл хүрэх боломжтой порт, сертификатын гинжин хэлхээ болон түүний хүчинтэй хугацаа, системийн цаг, клиент ба серверийн шифрүүдийн давхцал, мөн аливаа tls-auth эсвэл tls-crypt түлхүүрийг хар. Том сертификатын гинжин хэлхээ нь ямар ч баталгаажуулалт дуусахаас өмнө замын MTU дээр бүтэлгүйтэж болох бөгөөд энэ нь криптографын алдаа биш, хугацаа дууссан мэт харагдана.

Хяналтын гэмтлийг хяналтын тохиргоогоор зас. Өгөгдлийн шифрийг өсгөх эсвэл өгөгдлийн баталгаажуулалтын бодлогыг сулруулах нь сертификатын солилцоог хэзээ ч давж чадаагүй гар барилтыг дуусгахгүй.

Өгөгдлийн сувгийг тусад нь шалга

Сесс ажиллаж эхэлсний дараа тохирсон өгөгдлийн шифр болон горим, түлхүүрийн гаралт, түлхүүр шинэчлэлтийн зан төлөвийг баталгаажуул. OpenVPN-д өгөгдлийн сувгийн мөр бодитоор эхлүүлсэн шифр болон түлхүүрийн хэмжээг нэрлэдэг бөгөөд тэдгээр нь профайл дахь эхний шифрээс ялгаатай байж болно.

Дараа нь сесс юу суулгасныг шалга. PUSH_REPLY маршрут, DNS сервер, redirect-gateway заавар нэмж болох бөгөөд тэдгээрийн аль нь ч урсгалыг програм ашиглаж чадахгүй газар руу илгээж болно. IKEv2-ийн хувьд адилтгах асуулт нь CHILD холбооны сонгогчид бодит урсгал дахь хаягуудтай тохирч байна уу гэдэг юм.

tls-auth болон tls-crypt нь хяналтын сувагт хамаарна. Тэд гар барилтыг баталгаажуулах эсвэл шифрлэх бөгөөд програмын өгөгдлийн шифрийг сонгодоггүй. Хэрэв та өгөгдлийн замд өөрчлөлт хүлээж тэдгээрийн аль нэгийг нэмбэл өөрчилсөн цорын ганц зүйл нь гар барилт юм.

Нэрсийг IKEv2 болон OpenVPN-той холбох

IKEv2 нь IKE аюулгүй байдлын холбоо болон нэг буюу хэд хэдэн CHILD холбоотой. IKE холбоо нь хяналтын солилцоог дамжуулдаг; CHILD холбоо нь хамгаалагдсан урсгал болон түүний сонгогчдыг дамжуулдаг. Тэдгээрийг тусдаа хуваарийн дагуу хэлэлцэж, түлхүүрийг шинэчилдэг тул нэг нь эрүүл байхад нөгөө нь тийм биш байж болно.

ESP-ийн дотор TLS загварын хяналтын суваг байхгүй. Хяналтын протокол нь IKE, ESP нь хамгаалагдсан ачаа юм. ESP-ийг өгөгдлийн суваг гэж нэрлэх нь сул товчлол бөгөөд пакетын бичлэг уншихад төөрөгдүүлдэг, учир нь бичлэг IKE мессеж болон ESP пакетыг шугам дээр өөр протоколууд гэж харуулдаг.

Өөрийн тэмдэглэлд тохирлыг тодорхой хадгал: OpenVPN хяналтын суваг болон IKE SA нь удирдлагын тал, OpenVPN өгөгдлийн суваг болон CHILD SA нь урсгалын тал бөгөөд хуваалт ижил төстэй харагдсан ч хэрэгжүүлэлтүүд нь солилцох боломжгүй.

Буруу тохиргоог өөрчлөхөө зогсоо

Замыг нэг чиглэлд туул: хяналтын солилцоо, өгөгдлийн хамгаалалт, дамжуулалт, дараа нь нэр шийдвэрлэлт. Эхний бүтэлгүйтсэн шатанд зогсоод зөвхөн тэр шатыг зас. Гарц руу пинг ажиллаж байгаа боловч програмын урсгалгүй холбогдсон сесс нь дамжуулалт эсвэл сонгогчийн асуудал, гар барилтын асуудал биш.

Шат бүрийн нотолгоог тасалбарт тусад нь бич: хяналтын лог мөр, тохирсон өгөгдлийн параметр, суулгасан маршрут, нэг бодит хүсэлт. Энэ бүтэц нь ажиллаж буй таних шалгалтыг сулруулж, түүний хэзээ ч үүсгээгүй хожуу маршрутжуулалтын асуудлыг засахыг хориглодог бөгөөд өгөгдлийн шифрийн өөрчлөлтийг сертификатын алдааны шийдэл гэж зарахыг ч хориглодог.

OpenVPN протоколын баримт бичиг нь хяналт ба өгөгдлийн хуваалтын лавлагаа юм; нийлүүлэгчийн интерфейс мөнөөх хоёр функцийг өөр үгээр хэрэглэх үед ашиглаарай.