Saluran kawalan dan saluran data VPN: periksa lapisan yang betul

Klien berkata bersambung, pelayan melihat rakan, dan aplikasi masih tidak sampai ke mana-mana. Pada ketika itu soalan yang berguna bukanlah sifer mana yang perlu ditukar, tetapi saluran mana yang gagal. OpenVPN menamakan dua fungsi secara jelas: saluran kawalan yang berunding dan mengurus sesi, dan saluran data yang membawa trafik terlindung. IKEv2 menyatakan pembahagian serupa melalui persatuan IKE dan persatuan CHILD. Lakukan pemeriksaan di bawah mengikut urutan, kerana pembaikan laluan data yang dikenakan pada kerosakan laluan kawalan membazirkan tetingkap perubahan.

Namakan saluran sebelum menyahpepijatnya

Bahagian kawalan berunding tentang bahan keselamatan, mengesahkan rakan dan mengurus sambungan. Bahagian data membawa trafik yang dipilih setelah keadaan yang diperlukan wujud.

Kedua-duanya gagal secara berbeza. Kegagalan kawalan biasanya meninggalkan anda tanpa sesi yang boleh digunakan langsung, atau dengan sesi yang berunding semula dalam gelung. Kegagalan data meninggalkan sesi yang kelihatan sihat sementara paket digugurkan, salah dihalakan, atau dilindungi dengan parameter yang tidak akan diterima oleh pihak lawan. Baris log yang anda baca memberitahu anda dalam keadaan mana, jadi baca label sebelum teks ralat.

Periksa pertukaran kawalan

Pastikan jabat tangan selesai dan kedua-dua pihak bersetuju tentang pengangkutan, versi TLS dan kaedah pengesahan. Log OpenVPN mencetak baris berasingan untuk saluran kawalan dan saluran data, dan baris kawalan ialah tempat ketidakpadanan sijil, versi TLS atau tls-crypt muncul.

Jika pertukaran kawalan gagal, lihat port yang boleh dicapai, rantaian sijil dan tarikh sahnya, jam sistem, pertindihan sifer antara klien dan pelayan, serta mana-mana kunci tls-auth atau tls-crypt. Rantaian sijil yang besar juga boleh gagal pada MTU laluan sebelum sebarang pengesahan selesai, yang kelihatan seperti tamat masa dan bukan ralat kriptografi.

Baiki kerosakan kawalan dengan tetapan kawalan. Menaikkan sifer data atau melonggarkan dasar pengesahan data tidak akan menyelesaikan jabat tangan yang tidak pernah melepasi pertukaran sijil.

Periksa saluran data secara berasingan

Setelah sesi naik, sahkan sifer dan mod data yang dirundingkan, terbitan kunci dan tingkah laku pembaharuan kunci. Dalam OpenVPN, baris saluran data menamakan sifer dan saiz kunci yang benar-benar dimulakan, dan ia mungkin berbeza daripada sifer pertama dalam profil.

Kemudian periksa apa yang dipasang oleh sesi. PUSH_REPLY boleh menambah laluan, pelayan DNS dan arahan redirect-gateway, dan mana-mana daripadanya boleh menghantar trafik ke tempat yang aplikasi tidak dapat menggunakannya. Bagi IKEv2, soalan setara ialah sama ada pemilih persatuan CHILD sepadan dengan alamat dalam aliran sebenar.

tls-auth dan tls-crypt tergolong dalam saluran kawalan. Kedua-duanya mengesahkan atau menyulitkan jabat tangan dan tidak memilih sifer data aplikasi. Jika anda menambah salah satunya dengan harapan laluan data berubah, satu-satunya perkara yang anda ubah ialah jabat tangan.

Petakan nama kepada IKEv2 dan OpenVPN

IKEv2 mempunyai persatuan keselamatan IKE dan satu atau lebih persatuan CHILD. Persatuan IKE membawa pertukaran kawalan; persatuan CHILD membawa trafik terlindung dan pemilihnya. Kedua-duanya dirundingkan dan kuncinya diperbaharui mengikut jadual berasingan, jadi satu boleh sihat sementara yang lain tidak.

ESP tidak mempunyai saluran kawalan bergaya TLS di dalamnya. Protokol kawalan ialah IKE, dan ESP ialah muatan terlindung. Menyebut ESP sebagai saluran data ialah singkatan longgar yang menjadi mengelirukan apabila membaca tangkapan paket, kerana tangkapan menunjukkan mesej IKE dan paket ESP sebagai protokol berbeza pada wayar.

Kekalkan pemetaan itu secara eksplisit dalam nota anda: saluran kawalan OpenVPN dan IKE SA ialah bahagian pengurusan, saluran data OpenVPN dan CHILD SA ialah bahagian trafik, dan pelaksanaannya tidak boleh ditukar ganti walaupun pembahagiannya kelihatan serupa.

Berhenti menukar tetapan yang salah

Jelajahi laluan dalam satu arah: pertukaran kawalan, perlindungan data, penghantaran, kemudian penyelesaian nama. Berhenti pada peringkat pertama yang gagal dan baiki hanya peringkat itu. Sesi bersambung dengan ping ke gerbang yang berfungsi tetapi tanpa trafik aplikasi ialah masalah penghantaran atau pemilih, bukan masalah jabat tangan.

Tulis bukti bagi setiap peringkat secara berasingan dalam tiket: baris log kawalan, parameter data yang dirundingkan, laluan yang dipasang dan satu permintaan sebenar. Struktur itu menghalang pengesahan identiti yang berfungsi daripada dilemahkan untuk membaiki masalah penghalaan kemudian yang tidak pernah disebabkan olehnya, dan menghalang perubahan sifer data daripada dijual sebagai pembaikan ralat sijil.

Dokumentasi protokol OpenVPN ialah rujukan untuk pembahagian kawalan dan data; gunakannya apabila antara muka vendor menggunakan perkataan lain untuk dua fungsi yang sama.