VPN-kontrollkanal og datakanal: sjekk det rette laget

Klienten seier tilkopla, tenaren ser ein peer, og applikasjonen når framleis ingenting. På det punktet er det nyttige spørsmålet ikkje kva chiffer som skal endrast, men kva kanal som svikta. OpenVPN namngjev to funksjonar eksplisitt: ein kontrollkanal som forhandlar om og styrer økta, og ein datakanal som ber den verna trafikken. IKEv2 uttrykkjer ei nærskyld deling gjennom IKE-assosiasjonen og CHILD-assosiasjonen. Gå gjennom kontrollane nedanfor i rekkjefølgje, fordi ei retting av datastien brukt på ein feil i kontrollstien kastar bort eit endringsvindauge.

Namngje kanalen før du feilsøkjer han

Kontrollsida forhandlar om tryggingsmateriale, autentiserer partar og styrer sambandet. Datasida ber den valde trafikken når den naudsynte tilstanden finst.

Dei sviktar ulikt. Ein kontrollfeil lèt deg vanlegvis heilt utan ei brukbar økt, eller med ei økt som forhandlar på nytt i ei løkke. Ein datafeil lèt att ei økt som ser sunn ut medan pakkar blir sleppte, ruta feil eller verna med parameterar den andre sida ikkje vil godta. Logglinja du les fortel deg kva av dei to du er i, så les etiketten før feilteksten.

Sjekk kontrollutvekslinga

Stadfest at handtrykket blir fullført og at båe sider er samde om transporten, TLS-versjonen og autentiseringsmetoden. OpenVPN-loggar skriv ut separate linjer for kontrollkanalen og datakanalen, og det er i kontrollinja at eit avvik i sertifikat, TLS-versjon eller tls-crypt dukkar opp.

Viss kontrollutvekslinga sviktar, sjå på den tilgjengelege porten, sertifikatkjeda og gyldigheitsdatoane hennar, systemklokka, chiffersamankoplinga mellom klient og tenar og kvar tls-auth- eller tls-crypt-nøkkel. Ei stor sertifikatkjede kan òg svikte på MTU-en til stien før noka autentisering blir fullført, noko som ser ut som tidsavbrot og ikkje som ein kryptografisk feil.

Rett kontrollfeil med kontrollinnstillingar. Å heve datachifferen eller lempe datapolitikken for autentisering fullfører ikkje eit handtrykk som aldri kom forbi sertifikatutvekslinga.

Sjekk datakanalen separat

Når økta er oppe, stadfest den forhandla datachifferen og -modusen, nøkkelutleiinga og åtferda ved nøkkelfornying. I OpenVPN namngjev datakanallinja chifferen og nøkkelstorleiken som faktisk vart initialiserte, og dei kan avvike frå den første chifferen i profilen.

Sjekk deretter kva økta installerte. Eit PUSH_REPLY kan leggje til ruter, ein DNS-tenar og eit redirect-gateway-påbod, og kven som helst av dei kan sende trafikk dit applikasjonen ikkje kan bruke han. For IKEv2 er det tilsvarande spørsmålet om selektorane til CHILD-assosiasjonen passar til adressene i den faktiske straumen.

tls-auth og tls-crypt høyrer til kontrollkanalen. Dei autentiserer eller krypterer handtrykket og vel ikkje datachifferen til applikasjonen. Viss du legg til ein av dei i vente på ei endring av datastien, er det einaste du har endra handtrykket.

Knytt namna til IKEv2 og OpenVPN

IKEv2 har ein IKE-tryggingsassosiasjon og ein eller fleire CHILD-assosiasjonar. IKE-assosiasjonen ber kontrollutvekslingane; CHILD-assosiasjonen ber den verna trafikken og selektorane sine. Dei blir forhandla og får fornya nøklar etter separate tidsplanar, så den eine kan vere sunn medan den andre ikkje er det.

ESP har ikkje ein kontrollkanal i TLS-stil inni seg. Kontrollprotokollen er IKE, og ESP er nyttelasten som blir verna. Å kalle ESP datakanalen er ei laus forkorting som blir forvirrande når du les ein pakkefangst, fordi fangsten viser IKE-meldingar og ESP-pakkar som ulike protokollar på linja.

Hald koplinga eksplisitt i notata dine: OpenVPN-kontrollkanal og IKE SA er styringssida, OpenVPN-datakanal og CHILD SA er trafikksida, og implementasjonane er ikkje utskiftbare sjølv når delinga ser lik ut.

Slutt å endre den feil innstillinga

Gå stien i éin retning: kontrollutveksling, databeskytting, videresending og deretter namneoppslag. Stopp ved det første trinnet som sviktar og rett berre det trinnet. Ei tilkopla økt med fungerande ping til gatewayen, men utan applikasjonstrafikk, er eit videresendings- eller selektorproblem, ikkje eit handtrykksproblem.

Skriv prova for kvart trinn separat i saka: kontrollogglinja, dei forhandla dataparameterane, dei installerte rutene og éin ekte førespurnad. Den strukturen hindrar at ein fungerande identitetssjekk blir svekt for å reparere eit seinare ruteproblem han aldri førte til, og han hindrar at ei endring av datachifferen blir seld som ei retting av ein sertifikatfeil.

OpenVPN-protokolldokumentasjonen er referansen for delinga mellom kontroll og data; bruk han når eit leverandørgrensesnitt brukar andre ord for dei same to funksjonane.