VPN-kontrollkanal og datakanal: sjekk det rette laget

Klienten sier tilkoblet, serveren ser en peer, og applikasjonen når fortsatt ingenting. På det punktet er det nyttige spørsmålet ikke hvilken chiffer som skal endres, men hvilken kanal som sviktet. OpenVPN navngir to funksjoner eksplisitt: en kontrollkanal som forhandler om og styrer økten, og en datakanal som bærer den beskyttede trafikken. IKEv2 uttrykker en beslektet deling gjennom IKE-assosiasjonen og CHILD-assosiasjonen. Gå gjennom kontrollene nedenfor i rekkefølge, fordi en retting av datastien brukt på en feil i kontrollstien kaster bort et endringsvindu.

Navngi kanalen før du feilsøker den

Kontrollsiden forhandler om sikkerhetsmateriale, autentiserer parter og styrer forbindelsen. Datasiden bærer den valgte trafikken når den nødvendige tilstanden finnes.

De svikter ulikt. En kontrollfeil etterlater deg vanligvis helt uten en brukbar økt, eller med en økt som forhandler på nytt i en løkke. En datafeil etterlater en økt som ser sunn ut mens pakker slippes, rutes feil eller beskyttes med parametere den andre siden ikke vil godta. Logglinjen du leser forteller deg hvilken av de to du er i, så les etiketten før feilteksten.

Sjekk kontrollutvekslingen

Bekreft at håndtrykket fullføres og at begge sider er enige om transporten, TLS-versjonen og autentiseringsmetoden. OpenVPN-logger skriver ut separate linjer for kontrollkanalen og datakanalen, og det er i kontrollinjen en avvikende sertifikat-, TLS-versjons- eller tls-crypt-verdi dukker opp.

Hvis kontrollutvekslingen svikter, se på den tilgjengelige porten, sertifikatkjeden og dens gyldighetsdatoer, systemklokken, chifferoverlappingen mellom klient og server og enhver tls-auth- eller tls-crypt-nøkkel. En stor sertifikatkjede kan også svikte på stiens MTU før noen autentisering fullføres, noe som ser ut som en tidsavbrudd og ikke som en kryptografisk feil.

Rett kontrollfeil med kontrollinnstillinger. Å heve datachifferen eller lempe datapolicyen for autentisering fullfører ikke et håndtrykk som aldri kom forbi sertifikatutvekslingen.

Sjekk datakanalen separat

Når økten er oppe, bekreft den forhandlede datachifferen og -modusen, nøkkelutledningen og oppførselen ved nøkkelfornyelse. I OpenVPN navngir datakanallinjen chifferen og nøkkelstørrelsen som faktisk ble initialisert, og de kan avvike fra den første chifferen i profilen.

Sjekk deretter hva økten installerte. Et PUSH_REPLY kan legge til ruter, en DNS-server og en redirect-gateway-direktiv, og enhver av dem kan sende trafikk dit applikasjonen ikke kan bruke den. For IKEv2 er det tilsvarende spørsmålet om CHILD-assosiasjonens selektorer passer til adressene i den faktiske strømmen.

tls-auth og tls-crypt hører til kontrollkanalen. De autentiserer eller krypterer håndtrykket og velger ikke applikasjonens datachiffer. Hvis du legger til en av dem i forventning om en endring av datastien, er det eneste du har endret håndtrykket.

Knytt navnene til IKEv2 og OpenVPN

IKEv2 har en IKE-sikkerhetsassosiasjon og én eller flere CHILD-assosiasjoner. IKE-assosiasjonen bærer kontrollutvekslingene; CHILD-assosiasjonen bærer den beskyttede trafikken og selektorene sine. De forhandles og får fornyet nøklene etter separate tidsplaner, så den ene kan være sunn mens den andre ikke er det.

ESP har ikke en kontrollkanal i TLS-stil inni seg. Kontrollprotokollen er IKE, og ESP er nyttelasten som beskyttes. Å kalle ESP datakanalen er en løs forkortelse som blir forvirrende når du leser en pakkefangst, fordi fangsten viser IKE-meldinger og ESP-pakker som forskjellige protokoller på ledningen.

Hold koblingen eksplisitt i notatene dine: OpenVPN-kontrollkanal og IKE SA er styringssiden, OpenVPN-datakanal og CHILD SA er trafikksiden, og implementasjonene er ikke utskiftbare selv når delingen ser lik ut.

Slutt å endre den feil innstillingen

Gå stien i én retning: kontrollutveksling, databeskyttelse, videresending og deretter navneoppslag. Stopp ved det første trinnet som svikter og rett bare det trinnet. En tilkoblet økt med fungerende ping til gatewayen, men uten applikasjonstrafikk, er et videresendings- eller selektorproblem, ikke et håndtrykksproblem.

Skriv beviset for hvert trinn separat i saken: kontrollogglinjen, de forhandlede dataparametrene, de installerte rutene og én ekte forespørsel. Den strukturen hindrer at en fungerende identitetssjekk svekkes for å reparere et senere ruteproblem den aldri forårsaket, og den hindrer at en endring av datachifferen selges som en retting av en sertifikatfeil.

OpenVPN-protokolldokumentasjonen er referansen for delingen mellom kontroll og data; bruk den når et leverandørgrensesnitt bruker andre ord for de samme to funksjonene.