Passi tal-handshake tal-VPN: x’jiġri qabel ma tgħaddi t-traffiku

L-ippressar ta’ Qabbad jibda erba’ kompiti separati li jirnexxu jew jonqsu b’mod indipendenti. Il-klijent irid jilħaq semmiegħa, jaqbel min hu l-pari, joħroġ iċ-ċwievet u mbagħad jgħaddi tunnel li jaħdem lill-bqija tas-sistema. Il-biċċa l-kbira tal-konnessjonijiet li jonqsu jiġu dijanjostikati fil-kompitu żbaljat. Għalhekk l-ewwel żball jiswa iktar mit-tielet tentattiv.

L-ewwel ilħaq is-semmiegħa

Qabel ma jiġi skambjat xi identità, il-klijent isolvi isem, jagħżel rotta u jiftaħ trasport lejn port. Portal magħluq li jwieġeb kollox, port magħluq u isem tal-host żbaljat kollha jonqsu hawn, u ħadd minnhom mhuwa problema ta’ awtentikazzjoni. It-tibdil tal-password ma jistax isewwi lil ħadd mit-tlieta. Aqra l-ewwel linja tal-iżball qabel ma tmiss il-kredenzjali.

Timeout, ċaħda taċ-ċertifikat u kont miċħud huma tliet ħsarat differenti b’tliet verifiki differenti. L-ewwel issortjar tagħhom huwa dak li jżomm problema tan-netwerk milli tiġi debugjata bħala problema tal-kredenzjali.

Ipprova l-pari, imbagħad oħroġ iċ-ċwievet

Kull protokoll għandu bżonn mod biex jagħraf is-server maħsub, kemm jekk permezz ta’ ċavetta pubblika konfigurata kif ukoll permezz ta’ katina taċ-ċertifikati. Id-dħul tal-utent huwa żieda ma’ dik il-verifika, mhux sostitut tagħha. Server li jaċċetta l-password tiegħek ma wera xejn dwar l-identità tiegħu stess. Għalhekk sigriet kondiviż li jittejpa fil-klijent mhuwiex sostitut għall-verifika ta’ min wieġeb.

L-iskambju mbagħad joħroġ iċ-ċwievet tat-traffiku mill-inputs stess tal-protokoll, u l-password tad-dħul ġeneralment mhix iċ-ċavetta li tiġi stampata fuq kull pakkett. Il-materjal tal-identità fit-tul u ċ-ċwievet tas-sessjoni għal żmien qasir għandhom tul ta’ ħajja u kompiti differenti. Proprju dwar din is-separazzjoni hi l-kunfidenzjalità ’l quddiem.

Żomm il-verifika attiva waqt l-issolvjar tal-problemi, għax tunnel li jqabbad wara li tiddiżattiva verifika ma wera xejn barra li l-verifika kienet tagħmel xi ħaġa. Innota x’biddilt, u erġa’ poġġih qabel it-test li jmiss.

Tliet protokolli, tliet konversazzjonijiet

F’distribuzzjoni ta’ OpenVPN ibbażata fuq TLS il-kanal tal-kontroll jinnegozja l-parametri tas-sigurtà filwaqt li l-kanal tad-data jġorr it-traffiku tat-tunnel, allura għażla tal-kanal tad-data u problema taċ-ċertifikat jgħixu f’postijiet differenti. IKEv2 jawtentika ż-żewġ parteċipanti u mbagħad jistabbilixxi assoċjazzjonijiet tas-sigurtà IPsec bit-tulijiet tagħhom stess. WireGuard joħroġ iċ-ċwievet permezz tal-iskambju tiegħu bbażat fuq Noise u jżomm il-magna tal-istat apposta żgħira. Li tkun taf liema mit-tlieta tkun qed tħaddem jiddeċiedi liema log jiswa li tinqara.

Klijenti li jidhru simili ma jfissrux messaġġi skambjabbli taħthom, u qasam ta’ konfigurazzjoni li jeżisti fi prodott wieħed jista’ ma jkollux ekwivalenti f’ieħor. L-ikkupjar ta’ profil bejniethom huwa stima u mhux migrazzjoni.

X’ma jagħmilx il-handshake

Rotot, soluzzjoni ta’ ismijiet u politika tad-destinazzjoni kollha jibqgħu wara. Sit intern jista’ jibqa’ ma jintlaħaqx għax ir-rotta tas-subnet tiegħu hija nieqsa, anki jekk il-pari ġie awtentikat b’mod korrett u t-tunnel jaħdem. Li tqis dan bħala encryption dgħajfa tibgħat lilek tfittex fis-saff żbaljat, u normalment jispiċċa b’bidla ta’ cipher li ma ssewwi xejn.

L-aġġornament taċ-ċwievet u l-qbil mill-ġdid jidhru wkoll simili fil-biċċa l-kbira tal-wiri tal-istat, u t-tnejn ma jgħidux jekk it-traffiku tas-soltu kienx imblukkat waqt it-tmiem. Biss il-politika tal-falliment tal-klijent twieġeb dik il-mistoqsija, allura aqra l-politika u mhux l-ikona.

Aħdem l-istadji bl-ordni ta’ fuq u waqaf fl-ewwel wieħed li jipproduċi żball. Kull stadju sussegwenti jiret l-istat ta’ dawk preċedenti, allura falliment fit-tielet stadju ma jgħid xejn dwar ir-raba’.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal