VPN гар барилтын алхмууд: трафик урсахаас өмнө юу болдог

Холбох товчийг дарахад бие даан амжилттай эсвэл бүтэлгүй болох дөрвөн тусдаа ажил эхэлдэг. Клиент сонсогчдод хүрч, эсрэг тал хэн болохыг зөвшилцөж, түлхүүрүүдийг гаргаж, дараа нь ажиллаж буй туннелийг системийн үлдсэн хэсэгт шилжүүлэх ёстой. Бүтэлгүйтсэн холболтын ихэнх нь буруу ажилд оношлогддог. Тиймээс эхний алдаа гурав дахь оролдлогоос илүү чухал.

Эхлээд сонсогчдод хүрээрэй

Ямар ч таних тэмдэг солилцохоос өмнө клиент нэрийг шийдэж, маршрут сонгож, порт руу тээврийг нээдэг. Бүх зүйлд хариулдаг олзлогдсон портал, хаалттай порт, буруу хостны нэр энд бүгд бүтэлгүйтдэг бөгөөд тэдгээрийн аль нь ч баталгаажуулалтын асуудал биш. Нууц үгийг солих нь гурвын алийг нь ч засахгүй. Итгэмжлэлийг хүрэхээс өмнө алдааны эхний мөрийг уншина уу.

Хугацаа дуусах, гэрчилгээ татгалзах, татгалзсан бүртгэл нь гурван өөр шалгалттай гурван өөр гэмтэл юм. Тэдгээрийг эхлээд ялгах нь сүлжээний асуудлыг итгэмжлэлийн асуудал гэж засахыг сэргийлдэг.

Эсрэг талыг баталж, дараа нь түлхүүрүүдийг гарга

Протокол бүрт зориулсан серверийг таних арга хэрэгтэй: тохируулсан нийтийн түлхүүр эсвэл гэрчилгээний гинжин хэлхээ. Хэрэглэгчийн нэвтрэлт нь тэр шалгалтад нэмэгдэх зүйл бөгөөд түүнийг орлохгүй. Таны нууц үгийг хүлээн авсан сервер өөрийн таних тэмдгийн талаар юу ч батлаагүй. Тиймээс клиентэд бичсэн нийтлэг нууц хэн хариулсныг шалгахыг орлохгүй.

Дараа нь солилцоо трафикийн түлхүүрүүдийг протоколын өөрийн оролтоос гаргадаг бөгөөд нэвтрэх нууц үг нь ерөнхийдөө пакет бүр дээр дардаг түлхүүр биш юм. Урт хугацааны таних тэмдгийн материал болон богино хугацааны сессийн түлхүүрүүд өөр амьдрах хугацаа, өөр үүрэгтэй. Урагшлах нууцлал яг энэ тусгаарлалтын тухай юм.

Асуудал шийдвэрлэх үед баталгаажуулалтыг асаалттай байлгаарай, учир нь шалгалтыг унтраасны дараа холбогдсон туннель тэр шалгалт ямар нэгэн зүйл хийж байсныг л баталсан. Юу өөрчилснөө тэмдэглэж, дараагийн туршилтын өмнө буцааж тавь.

Гурван протокол, гурван яриа

TLS-д суурилсан OpenVPN байрлуулалтад хяналтын суваг аюулгүй байдлын параметрүүдийн талаар хэлэлцэж, өгөгдлийн суваг туннелийн трафикийг зөөдөг тул өгөгдлийн сувгийн сонголт ба гэрчилгээний асуудал өөр өөр газарт байдаг. IKEv2 хоёр оролцогчийг баталгаажуулж, дараа нь өөрийн хугацаатай IPsec аюулгүй байдлын нэгдлүүдийг тогтоодог. WireGuard түлхүүрүүдийг Noise-д суурилсан солилцоогоор гаргаж, төлөвийн машиныг санаатайгаар жижиг байлгадаг. Гурвын алийг нь ажиллуулж байгаагаа мэдэх нь аль лог унших нь үнэ цэнэтэйг шийддэг.

Адилхан харагдах клиентүүд доорх мессежүүд солилцоох боломжтой гэсэн үг биш бөгөөд нэг бүтээгдэхүүнд байгаа тохиргооны талбар нөгөөд нь дүйцэх зүйлгүй байж болно. Тэдний хооронд профайл хуулах нь шилжилт биш, таамаг юм.

Гар барилт юу хийдэггүй вэ

Маршрут, нэрийн шийдвэрлэлт, очих газрын бодлого бүгд дараа нь ч үлддэг. Эсрэг тал зөв баталгаажиж, туннель ажиллаж байсан ч дотоод сайт дэд сүлжээний маршрут дутуугаас хүрэхгүй хэвээр байж болно. Үүнийг сул шифрлэлт гэж үзэх нь таныг буруу давхаргаас хайхад хүргэдэг бөгөөд энэ нь ихэвчлэн юу ч засдаггүй шифр солих үйлдлээр төгсдөг.

Түлхүүр шинэчлэх, дахин холбогдох нь ихэнх төлөвийн дэлгэцэд мөн адил харагддаг бөгөөд хоёулаа тасалдлын үед энгийн трафик хаагдсан эсэхийг хэлдэггүй. Энэ асуултад зөвхөн клиентийн бүтэлгүйтлийн бодлого хариулдаг тул дүрс биш, бодлогыг уншина уу.

Алхмуудыг дээрх дарааллаар гүйцэтгэж, алдаа гаргасан эхний алхам дээр зогсоно уу. Дараагийн алхам бүр өмнөх алхмуудын төлөвийг өвлөдөг тул гурав дахь алхмын бүтэлгүйтэл дөрөв дэх алхмын талаар юу ч хэлэхгүй.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal