Steg i VPN-handtrykk: kva som skjer før trafikken flyt

Å trykkje Kople til startar fire separate jobbar som lukkast eller feilar uavhengig. Klienten må nå ein lyttar, bli samd om kven motparten er, rekne ut nøklar og deretter overlevere ein fungerande tunnel til resten av systemet. Dei fleste mislukka tilkoplingane blir diagnostiserte i feil jobb. Difor tel den første feilen meir enn det tredje forsøket.

Nå fram til lyttaren først

Før nokon identitet blir utveksla, slår klienten opp eit namn, vel ei rute og opnar ein transport til ein port. Ein captive portal som svarar på alt, ein lukka port og eit feil vertsnamn feilar alle her, og ingen av dei er eit autentiseringsproblem. Å endre eit passord kan ikkje rette nokon av dei tre. Les den første lina i feilen før du rører ved påloggingsinformasjonen.

Eit tidsavbrot, ei sertifikatavvising og ein avvist konto er tre ulike feil med tre ulike kontrollar. Å sortere dei først er det som hindrar at eit nettverksproblem blir feilsøkt som eit påloggingsproblem.

Bevis motparten, rekn deretter ut nøklar

Kvar protokoll treng ein måte å kjenne att den tiltenkte tenaren på, anten via ein konfigurert offentleg nøkkel eller ei sertifikatkjede. Ei brukarpålogging kjem i tillegg til den kontrollen, ikkje i staden for han. Ein tenar som godtar passordet ditt, har ikkje prova noko om sin eigen identitet. Difor er ei delt løyndom som blir skriven inn i ein klient, ikkje ei erstatning for å verifisere kven som svara.

Utvekslinga reknar deretter ut trafikknøklar frå protokollen sine eigne inndata, og påloggingspassordet er vanlegvis ikkje nøkkelen som blir stempla på kvar pakke. Langsiktig identitetsmateriale og kortliva sesjonsnøklar har ulik levetid og ulike oppgåver. Det er denne skilnaden forward secrecy handlar om.

Hald verifiseringa aktiv medan du feilsøkjer, fordi ein tunnel som koplar til etter at du har deaktivert ein kontroll, ikkje har prova anna enn at kontrollen gjorde noko. Noter kva du endra, og set det tilbake før neste test.

Tre protokollar, tre samtalar

I ei TLS-basert OpenVPN-utrulling forhandlar kontrollkanalen tryggleiksparametrar medan datakanalen ber tunneltrafikken, så eit datakanalval og eit sertifikatproblem ligg på ulike stader. IKEv2 autentiserer begge deltakarane og etablerer deretter IPsec-tryggleiksassosiasjonar med eigne levetider. WireGuard reknar ut nøklar gjennom si Noise-baserte utveksling og held tilstandsmaskinen medvite liten. Å vite kva av dei tre du køyrer avgjer kva logg som er verdt å lese.

Klientar som ser like ut betyr ikkje at meldingane under kan bytast om, og eit konfigurasjonsfelt som finst i eitt produkt, har kanskje ingen motpart i eit anna. Å kopiere ein profil mellom dei er ei gissing og ikkje ein migrasjon.

Kva handtrykket ikkje gjer

Ruter, namneoppslag og destinasjonspolicy held fram alle etterpå. Eit internt nettstad kan bli verande utilgjengeleg fordi ruta til undernettet manglar, sjølv om motparten vart autentisert rett og tunnelen er oppe. Å handsame det som veik kryptering sender deg til å leite i feil lag, og det endar vanlegvis med ei chifferskifte som ikkje rettar noko.

Nøkkelrotasjon og attilkopling ser også like ut i dei fleste statusvisingar, og ingen av dei fortel deg om vanleg trafikk vart blokkert under avbrotet. Berre feilpolicyen til klienten svarar på det spørsmålet, så les policyen i staden for ikonet.

Arbeid gjennom stega i rekkjefølgja ovanfor og stopp ved det første som gir ein feil. Kvart seinare steg arvar tilstanden frå dei tidlegare, så ein feil i tredje steg seier ingenting om det fjerde.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal