Kanal ta' kontroll u kanal tad-data VPN: iċċekkja s-saff it-tajjeb

Il-klijent jgħid konness, is-server jara pari, u l-applikazzjoni xorta ma tilħaq imkien. F'dak il-punt il-mistoqsija utli mhix liema ċifra tinbidel, iżda liema kanal falla. OpenVPN isemmi żewġ funzjonijiet b'mod espliċitu: kanal ta' kontroll li jinnegozja u jmexxi s-sessjoni, u kanal tad-data li jġorr it-traffiku protett. IKEv2 jesprimi qsim simili permezz tal-assoċjazzjoni IKE u l-assoċjazzjoni CHILD. Agħmel il-verifiki hawn taħt bl-ordni, għax tiswija tal-mogħdija tad-data applikata għal ħsara fil-mogħdija tal-kontroll taħli tieqa ta' bidla.

Semmi l-kanal qabel ma tiddebaggjah

In-naħa tal-kontroll tinnegozja l-materjal tas-sigurtà, tawtentika l-pari u tmexxi l-konnessjoni. In-naħa tad-data ġġorr it-traffiku magħżul ladarba jkun hemm l-istat meħtieġ.

Huma jonqsu b'modi differenti. Ħsara fil-kontroll normalment tħallik mingħajr ebda sessjoni użabbli, jew b'sessjoni li terġa' tinnegozja f'linja. Ħsara fid-data tħalli sessjoni li tidher sana filwaqt li l-pakketti jintefgħu, jiġu mistrutturati ħażin jew protetti b'parametri li n-naħa l-oħra ma taċċettax. Il-linja tal-log li qed taqra tgħidlek f'liema każ qed tkun, għalhekk aqra t-tikketta qabel it-test tal-iżball.

Iċċekkja l-iskambju tal-kontroll

Ikkonferma li l-handshake jitlesta u li ż-żewġ naħat jaqblu dwar it-trasport, il-verżjoni TLS u l-metodu tal-awtentikazzjoni. Il-logs ta' OpenVPN jistampaw linji separati għall-kanal tal-kontroll u għall-kanal tad-data, u fuq il-linja tal-kontroll jidher nuqqas ta' qbil f'ċertifikat, verżjoni TLS jew tls-crypt.

Jekk l-iskambju tal-kontroll jonqos, ħares lejn il-port li jista' jintlaħaq, il-katina taċ-ċertifikati u d-dati tal-validità tagħha, l-arloġġ tas-sistema, it-tħaddim flimkien taċ-ċifri bejn klijent u server, u kwalunkwe ċavetta tls-auth jew tls-crypt. Katina kbira ta' ċertifikati tista' wkoll tonqos fl-MTU tal-mogħdija qabel ma titlesta kwalunkwe awtentikazzjoni, u dan jidher bħal timeout u mhux bħal żball kriptografiku.

Sewwi l-ħsarat tal-kontroll b'ambjenti tal-kontroll. Iż-żieda taċ-ċifra tad-data jew it-tnaqqir tal-politika tal-awtentikazzjoni tad-data mhux se jtemm handshake li qatt ma għadda mill-iskambju taċ-ċertifikati.

Iċċekkja l-kanal tad-data separatament

Ladarba s-sessjoni tkun għaddejja, ikkonferma iċ-ċifra u l-mod tad-data nnegozjati, id-derivazzjoni tal-ċavetta u l-imġiba tat-tiġdid tal-ċavetta. F'OpenVPN, il-linja tal-kanal tad-data ssemmi ċ-ċifra u d-daqs tal-ċavetta li fil-fatt ġew inizjalizzati, u dawn jistgħu jkunu differenti mill-ewwel ċifra fil-profil.

Imbagħad iċċekkja x'installa s-sessjoni. PUSH_REPLY jista' jżid rotot, server DNS u direttiva redirect-gateway, u kwalunkwe minnhom tista' tibgħat traffiku fejn l-applikazzjoni ma tistax tużah. Għal IKEv2, il-mistoqsija ekwivalenti hija jekk is-seletturi tal-assoċjazzjoni CHILD jaqblux mal-indirizzi fil-fluss reali.

tls-auth u tls-crypt jappartjenu għall-kanal tal-kontroll. Dawn jawtentikaw jew jinkriptaw il-handshake u ma jagħżlux iċ-ċifra tad-data tal-applikazzjoni. Jekk iżżid wieħed minnhom billi tistenna bidla fil-mogħdija tad-data, l-unika ħaġa li biddilt hi l-handshake.

Qabbad l-ismijiet ma' IKEv2 u OpenVPN

IKEv2 għandu assoċjazzjoni tas-sigurtà IKE u waħda jew iktar assoċjazzjonijiet CHILD. L-assoċjazzjoni IKE ġġorr l-iskambji tal-kontroll; l-assoċjazzjoni CHILD ġġorr it-traffiku protett u s-seletturi tagħha. Huma jiġu nnegozjati u ċ-ċwievet tagħhom jiġġeddu skont skedi separati, għalhekk waħda tista' tkun sana filwaqt li l-oħra le.

ESP m'għandux ġewwa fih kanal ta' kontroll bi stil TLS. Il-protokoll tal-kontroll hu IKE, u ESP hu l-payload protett. Li ssejjaħ lil ESP il-kanal tad-data hija abbrevjazzjoni laxka li ssir konfuża meta taqra qabda ta' pakketti, għax il-qabda turi messaġġi IKE u pakketti ESP bħala protokolli differenti fuq il-wajer.

Żomm il-mapping espliċitu fin-noti tiegħek: il-kanal tal-kontroll ta' OpenVPN u l-IKE SA huma n-naħa tal-ġestjoni, il-kanal tad-data ta' OpenVPN u l-CHILD SA huma n-naħa tat-traffiku, u l-implimentazzjonijiet mhumiex interkambjabbli anki meta l-qsim jidher simili.

Ieqaf tbiddel l-ambjent ħażin

Għaddi mill-mogħdija f'direzzjoni waħda: skambju tal-kontroll, protezzjoni tad-data, trażmissjoni, imbagħad riżoluzzjoni tal-ismijiet. Ieqaf fl-ewwel stadju li jonqos u sewwi biss dak l-istadju. Sessjoni konnessa b'ping li jaħdem sal-gateway imma mingħajr traffiku tal-applikazzjoni hija problema ta' trażmissjoni jew ta' seletturi, mhux problema ta' handshake.

Ikteb l-evidenza għal kull stadju separatament fit-ticket: il-linja tal-log tal-kontroll, il-parametri tad-data nnegozjati, ir-rotot installati u talba waħda reali. Dik l-istruttura tipprevjeni li verifika tal-identità li taħdem tiddgħajjef biex tissewwa problema ta' routing aktar tard li qatt ma kkawżat, u tipprevjeni li bidla fiċ-ċifra tad-data tinbigħ bħala tiswija ta' żball f'ċertifikat.

Id-dokumentazzjoni tal-protokoll OpenVPN hija r-referenza għall-qsim bejn kontroll u data; użaha meta l-interface ta' fornitur tuża kliem ieħor għall-istess żewġ funzjonijiet.