Langkah jabat tangan VPN: apa yang berlaku sebelum trafik mengalir

Menekan Sambung memulakan empat tugas berasingan yang berjaya atau gagal secara bebas. Klien mesti mencapai pendengar, bersetuju siapakah rakannya, memperoleh kunci dan kemudian menyerahkan terowong yang berfungsi kepada seluruh sistem. Kebanyakan sambungan yang gagal didiagnosis dalam tugas yang salah. Itulah sebabnya ralat pertama lebih penting daripada percubaan ketiga.

Capai pendengar dahulu

Sebelum sebarang identiti ditukar, klien menyelesaikan nama, memilih laluan dan membuka pengangkutan ke satu port. Portal tawanan yang menjawab segala-galanya, port tertutup dan nama hos yang salah semuanya gagal di sini, dan tiada satu pun daripadanya masalah pengesahan. Menukar kata laluan tidak dapat membaiki ketiga-tiganya. Baca baris pertama ralat sebelum menyentuh kelayakan.

Tamat masa, penolakan sijil dan akaun yang ditolak ialah tiga kerosakan berbeza dengan tiga pemeriksaan berbeza. Mengasingkannya dahulu itulah yang menghalang masalah rangkaian daripada dinyahpepijat sebagai masalah kelayakan.

Buktikan rakan, kemudian peroleh kunci

Setiap protokol memerlukan cara untuk mengenali pelayan yang dimaksudkan, sama ada melalui kunci awam yang dikonfigurasikan atau rantai sijil. Log masuk pengguna ialah tambahan kepada pemeriksaan itu, bukan penggantinya. Pelayan yang menerima kata laluan anda tidak membuktikan apa-apa tentang identitinya sendiri. Itulah sebabnya rahsia kongsi yang ditaip dalam klien bukan pengganti pengesahan siapa yang menjawab.

Pertukaran kemudian memperoleh kunci trafik daripada input protokol itu sendiri, dan kata laluan log masuk biasanya bukan kunci yang dicap pada setiap paket. Bahan identiti jangka panjang dan kunci sesi jangka pendek mempunyai jangka hayat dan tugas yang berbeza. Pemisahan itulah yang dimaksudkan dengan kerahsiaan ke hadapan.

Kekalkan pengesahan semasa menyelesaikan masalah, kerana terowong yang bersambung selepas anda mematikan pemeriksaan tidak membuktikan apa-apa kecuali pemeriksaan itu melakukan sesuatu. Catat apa yang anda ubah, dan kembalikannya sebelum ujian seterusnya.

Tiga protokol, tiga perbualan

Dalam penggunaan OpenVPN berasaskan TLS, saluran kawalan merundingkan parameter keselamatan manakala saluran data membawa trafik terowong, jadi pilihan saluran data dan masalah sijil berada di tempat berbeza. IKEv2 mengesahkan kedua-dua peserta dan kemudian menubuhkan persatuan keselamatan IPsec dengan jangka hayatnya sendiri. WireGuard memperoleh kunci melalui pertukarannya berasaskan Noise dan menyimpan mesin keadaan sengaja kecil. Mengetahui yang mana antara ketiga-tiganya anda jalankan menentukan log mana yang patut dibaca.

Klien yang kelihatan serupa tidak bermakna mesej di bawahnya boleh ditukar ganti, dan medan konfigurasi yang wujud dalam satu produk mungkin tiada pasangannya dalam produk lain. Menyalin profil antara mereka ialah tekaan, bukan migrasi.

Apa yang tidak dilakukan oleh jabat tangan

Laluan, penyelesaian nama dan dasar destinasi semuanya kekal selepas itu. Tapak dalaman mungkin kekal tidak dapat dicapai kerana laluan subnya tiada, walaupun rakan telah disahkan dengan betul dan terowong aktif. Menganggapnya sebagai penyulitan lemah menghantar anda mencari pada lapisan yang salah, dan ia biasanya berakhir dengan perubahan sifer yang tidak membaiki apa-apa.

Penyegaran kunci dan penyambungan semula juga kelihatan serupa dalam kebanyakan paparan status, dan kedua-duanya tidak memberitahu sama ada trafik biasa disekat semasa gangguan. Hanya dasar kegagalan klien menjawab soalan itu, jadi baca dasar itu, bukan ikon.

Kerjakan peringkat dalam urutan di atas dan berhenti pada yang pertama menghasilkan ralat. Setiap peringkat berikutnya mewarisi keadaan sebelumnya, jadi kegagalan pada peringkat ketiga tidak berkata apa-apa tentang peringkat keempat.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal