د VPN کنټرول چینل او د ډاټا چینل: سمه طبقه وګورئ

کلیانټ وايي چې نښلول شوی، سرور یو ملګری ویني، او اپلیکیشن لا هم هیچیرې نه رسیږي۔ په دې شیبه کې ګټوره پوښتنه دا نه ده چې کوم سایفر بدل کړو، بلکې دا ده چې کوم چینل ناکام شو۔ OpenVPN دوه دندې په څرګنده نوموي: یو کنټرول چینل چې د سیسټم په اړه خبرې اترې کوي او هغه مدیریت کوي، او یو ډاټا چینل چې ساتل شوی ترافیک انخلي۔ IKEv2 ورته ویش د IKE ټولنې او CHILD ټولنې له لارې څرګندوي۔ لاندې ګوتنې په ترتیب سره ترسره کړئ، ځکه چې د ډاټا لارې سمون چې د کنټرول لارې خرابۍ ته پلي شي د بدلون کړکۍ ضایع کوي۔

د ډیبګ کولو دمخه چینل ته نوم ورکړئ

کنټرول خوا د امنیتي موادو په اړه خبرې اترې کوي، ملګري تصدیقوي او اړیکه مدیریت کوي۔ ډاټا خوا اړین حالت رامنځته کیدو وروسته ټاکل شوی ترافیک انخلي۔

دوی په بېلابېلو ډولونو ناکام شي۔ د کنټرول خرابۍ معمولاً تاسو له هېڅ کاریدونکي سیسټم پرته پریږدي، یا د هغه سیسټم سره چې په لوپ کې بیا خبرې اترې کوي۔ د ډاټا خرابۍ هغه سیسټم پریږدي چې روغ ښکاري، خو پاکټونه غورځول کیږي، په غلطه لار روان وي، یا د هغو پیرامیټرونو سره ساتل کیږي چې مخامخ خوا به یې ومني نه۔ هغه لاګ کرښه چې لولئ تاسو ته وایي په کوم حالت کې یاست، نو د خطا له متن دمخه لیبل ولولئ۔

د کنټرول تبادله وګورئ

ډاډ ترلاسه کړئ چې لاس ورکول بشپړیږي او دواړه خواوې د لیږد، TLS نسخې او تصدیق کړنلارې په اړه سره یو ځای دي۔ د OpenVPN لاګونه د کنټرول چینل او ډاټا چینل لپاره جلا کرښې چاپوي، او د سند، TLS نسخې یا tls-crypt ناسمځای والی په همدې کنټرول کرښه کې ښکاري۔

که د کنټرول تبادله ناکامه شي، د رسیدونکي پورټ، د سندونو سلسلې او د هغې د اعتبار نیټو، د سیسټم ساعت، د کلیانټ او سرور ترمنځ د سایفرونو پوښ، او هر tls-auth یا tls-crypt کیلي وګورئ۔ لوی د سندونو سلسله کولای شي د لارې MTU کې هم ناکامه شي دمخه له دې چې کوم تصدیق بشپړ شي، او دا د وخت پای ته رسیدو په څېر ښکاري، نه د کرپټوګرافیک خطا په څېر۔

د کنټرول خرابۍ د کنټرول تنظیماتو سره سمې کړئ۔ د ډاټا سایفر لوړول یا د ډاټا تصدیق تګلارې نرمول هغه لاس ورکول بشپړ نه کړي چې هیڅکله د سندونو له تبادلې نه واوښتل۔

د ډاټا چینل په جلا توګه وګورئ

سیسټم پورته کیدو وروسته د هوکړې شوې ډاټا سایفر او حالت، د کیلي جوړښت او د کیلي نوي کولو چلند ډاډ ترلاسه کړئ۔ په OpenVPN کې، د ډاټا چینل کرښه هغه سایفر او کیلي اندازه نوموي چې واقعاً پیل شوي، او دا کیدای شي د پروفایل له لومړي سایفر نه توپیر ولري۔

بیا وګورئ چې سیسټم څه نصب کړل۔ PUSH_REPLY کولای شي لارې، یو DNS سرور او redirect-gateway لارښوونه ورزیاته کړي، او د دوی څخه هر یو کولای شي ترافیک هغه ځای ته ولیږي چې اپلیکیشن یې نه شي کارولای۔ د IKEv2 لپاره، معادل پوښتنه دا ده چې ایا د CHILD ټولنې ټاکونکي د واقعي بهیر پتې سره سمون لري۔

tls-auth او tls-crypt د کنټرول چینل پورې اړه لري۔ دوی لاس ورکول تصدیق یا کوډ کوي، او د اپلیکیشن ډاټا سایفر نه ټاکي۔ که یو له دوی څخه د ډاټا لارې بدلون په تمه ورزیات کړئ، یوازینی شی چې بدل کړی یې لاس ورکول دي۔

نومونه له IKEv2 او OpenVPN سره ونښلوئ

IKEv2 یوه د IKE امنیتي ټولنه او یوه یا ډېرې CHILD ټولنې لري۔ د IKE ټولنه کنټرول تبادلې انخلي؛ د CHILD ټولنه ساتل شوی ترافیک او د هغې ټاکونکي انخلي۔ دوی په جلا مهالویشونو کې خبرې اترې کیږي او کیلي یې نوی کیږي، نو یوه کیدای شي روغه وي پداسې حال کې چې بله نه ده۔

ESP په خپل منځ کې د TLS سټایل کنټرول چینل نه لري۔ کنټرول پروتوکول IKE دی، او ESP ساتل شوی بار دی۔ ESP ته د ډاټا چینل ویل یو سست لنډیز دی چې د پاکټ نیولو لوستلو پر مهال ګډوډونکی کیږي، ځکه چې نیول په تار کې د IKE پیغامونه او ESP پاکټونه د بېلابېلو پروتوکولونو په توګه ښیي۔

په خپلو یادښتونو کې اړیکه څرګنده وساتئ: د OpenVPN کنټرول چینل او IKE SA د مدیریت خوا ده، د OpenVPN ډاټا چینل او CHILD SA د ترافیک خوا ده، او پلي کونې سره بدلیدونکې نه دي حتی کله چې ویش ورته ښکاري۔

د غلط تنظیم بدلول بند کړئ

لار په یوه لوري ووهئ: کنټرول تبادله، ډاټا ساتنه، لیږد، بیا د نومونو حل۔ په لومړي ناکام پړاو کې ودریږئ او یوازې همغه پړاو سم کړئ۔ هغه نښلول شوی سیسټم چې ګیټوې ته پنګ کار کوي خو د اپلیکیشن ترافیک نه لري، د لیږد یا ټاکونکو ستونزه ده، نه د لاس ورکولو ستونزه۔

د هر پړاو شواهد په ټکټ کې جلا ولیکئ: د کنټرول لاګ کرښه، هوکړې شوې ډاټا پیرامیټرونه، نصب شوې لارې او یوه ریښتینې غوښتنه۔ دا جوړښت د کاریدونکې هویت ګوتنې کمزورې کول هغه وروسته لارښوونې ستونزه سمولو لپاره بندوي چې هغې هیڅکله نه وه رامنځته کړې، او د ډاټا سایفر بدلون د سند خطا حل په توګه پلورل هم بندوي۔

د OpenVPN پروتوکول اسناد د کنټرول او ډاټا ویش لپاره مرجع ده؛ کله چې د پلورونکي انټرفیس همدغو دوو دندو لپاره نور کلمې کاروي، هغه وکاروئ۔