Canal de control și canal de date VPN: verificați stratul corect

Clientul spune conectat, serverul vede un partener, iar aplicația tot nu ajunge nicăieri. În acel moment întrebarea utilă nu este ce cifru să schimbați, ci ce canal a eșuat. OpenVPN numește explicit două funcții: un canal de control care negociază și gestionează sesiunea, și un canal de date care transportă traficul protejat. IKEv2 exprimă o împărțire similară prin asocierea IKE și asocierea CHILD. Faceți verificările de mai jos în ordine, pentru că o corecție a căii de date aplicată unei defecțiuni a căii de control irosește o fereastră de schimbare.

Numiți canalul înainte de a-l depana

Partea de control negociază materialul de securitate, autentifică partenerii și gestionează conexiunea. Partea de date transportă traficul ales odată ce starea necesară există.

Eșuează diferit. O defecțiune de control vă lasă de obicei fără nicio sesiune utilizabilă, sau cu o sesiune care renegociază în buclă. O defecțiune de date lasă o sesiune care pare sănătoasă în timp ce pachetele sunt aruncate, rutate greșit sau protejate cu parametri pe care cealaltă parte nu îi va accepta. Linia de jurnal pe care o citiți vă spune în care dintre cele două cazuri sunteți, așa că citiți eticheta înaintea textului erorii.

Verificați schimbul de control

Confirmați că strângerea de mână se finalizează și că ambele părți cad de acord asupra transportului, versiunii TLS și metodei de autentificare. Jurnalele OpenVPN tipăresc linii separate pentru canalul de control și canalul de date, iar în linia de control apare o nepotrivire de certificat, versiune TLS sau tls-crypt.

Dacă schimbul de control eșuează, priviți portul accesibil, lanțul de certificate și datele sale de valabilitate, ceasul sistemului, suprapunerea cifrurilor între client și server și orice cheie tls-auth sau tls-crypt. Un lanț mare de certificate poate eșua și la MTU-ul căii înainte de finalizarea oricărei autentificări, ceea ce arată ca un timeout și nu ca o eroare criptografică.

Remediați defecțiunile de control cu setări de control. Creșterea cifrului de date sau relaxarea politicii de autentificare a datelor nu va finaliza o strângere de mână care nu a trecut niciodată de schimbul de certificate.

Verificați canalul de date separat

După ce sesiunea este pornită, confirmați cifrul și modul de date negociate, derivarea cheilor și comportamentul la reînnoirea cheii. În OpenVPN, linia canalului de date numește cifrul și dimensiunea cheii care au fost inițializate efectiv, iar acestea pot diferi de primul cifru din profil.

Apoi verificați ce a instalat sesiunea. Un PUSH_REPLY poate adăuga rute, un server DNS și o directivă redirect-gateway, iar oricare dintre ele poate trimite trafic unde aplicația nu îl poate folosi. Pentru IKEv2, întrebarea echivalentă este dacă selectorii asocierii CHILD corespund adreselor din fluxul real.

tls-auth și tls-crypt aparțin canalului de control. Acestea autentifică sau cifrează strângerea de mână și nu selectează cifrul de date al aplicației. Dacă adăugați unul dintre ele așteptând o schimbare a căii de date, singurul lucru pe care l-ați schimbat este strângerea de mână.

Asociați numele cu IKEv2 și OpenVPN

IKEv2 are o asociere de securitate IKE și una sau mai multe asocieri CHILD. Asocierea IKE transportă schimburile de control; asocierea CHILD transportă traficul protejat și selectorii săi. Sunt negociate și primesc chei noi după calendare separate, așa că una poate fi sănătoasă în timp ce cealaltă nu este.

ESP nu are în interior un canal de control în stil TLS. Protocolul de control este IKE, iar ESP este sarcina protejată. A numi ESP canalul de date este o prescurtare laxă care devine confuză când citiți o captură de pachete, pentru că captura arată mesajele IKE și pachetele ESP ca protocoale diferite pe fir.

Păstrați corespondența explicită în notele dumneavoastră: canalul de control OpenVPN și IKE SA sunt partea de gestionare, canalul de date OpenVPN și CHILD SA sunt partea de trafic, iar implementările nu sunt interschimbabile chiar dacă împărțirea pare similară.

Opriți modificarea setării greșite

Parcurgeți calea într-o singură direcție: schimb de control, protecția datelor, forwarding și apoi rezolvarea numelor. Opriți-vă la prima etapă care eșuează și reparați doar acea etapă. O sesiune conectată cu ping funcțional către gateway dar fără trafic al aplicației este o problemă de forwarding sau de selectori, nu de strângere de mână.

Scrieți dovezile pentru fiecare etapă separat în tichet: linia de jurnal a controlului, parametrii de date negociați, rutele instalate și o cerere reală. Această structură împiedică slăbirea unei verificări de identitate funcționale pentru a repara o problemă ulterioară de rutare pe care nu a cauzat-o niciodată și împiedică vânzarea unei schimbări a cifrului de date drept corecție a unei erori de certificat.

Documentația protocolului OpenVPN este referința pentru împărțirea dintre control și date; folosiți-o când interfața unui furnizor folosește alte cuvinte pentru aceleași două funcții.