VPN kontrolni i podatkovni kanal: provjerite pravi sloj

Klijent kaže da je povezan, poslužitelj vidi partnera, a aplikacija još uvijek ne doseže ništa. U tom trenutku korisno pitanje nije koju šifru promijeniti, nego koji je kanal zakazao. OpenVPN izričito imenuje dvije funkcije: kontrolni kanal koji pregovara o sesiji i upravlja njome, te podatkovni kanal koji nosi zaštićeni promet. IKEv2 izražava sličnu podjelu kroz IKE asocijaciju i CHILD asocijaciju. Provedite provjere u nastavku redom, jer popravak putanje podataka primijenjen na kvar kontrolne putanje troši prozor za promjenu.

Imenujte kanal prije nego što ga otklanjate

Kontrolna strana pregovara o sigurnosnom materijalu, autentificira partnere i upravlja vezom. Podatkovna strana nosi odabrani promet kada potrebno stanje postoji.

Oni zatajuju različito. Kvar kontrole obično vas ostavlja bez ikakve upotrebljive sesije, ili sa sesijom koja iznova pregovara u petlji. Kvar podataka ostavlja sesiju koja izgleda zdravo dok se paketi odbacuju, pogrešno usmjeravaju ili štite parametrima koje druga strana neće prihvatiti. Linija dnevnika koju čitate govori u kojoj ste situaciji, zato pročitajte oznaku prije teksta pogreške.

Provjerite kontrolnu razmjenu

Potvrdite da je rukovanje dovršeno i da se obje strane slažu o transportu, verziji TLS-a i metodi autentifikacije. OpenVPN dnevnici ispisuju odvojene linije kontrolnog kanala i podatkovnog kanala, a kontrolna linija je mjesto gdje se pojavljuje nesklad certifikata, verzije TLS-a ili tls-crypt.

Ako kontrolna razmjena zataji, pogledajte dostupni port, lanac certifikata i njegove datume valjanosti, sistemski sat, preklapanje šifri između klijenta i poslužitelja te svaki tls-auth ili tls-crypt ključ. Velik lanac certifikata može također zatajiti na MTU putanje prije nego što se ikakva autentifikacija dovrši, što izgleda kao istek vremena, a ne kao kriptografska pogreška.

Popravljajte kvarove kontrole kontrolnim postavkama. Podizanje šifre podataka ili ublažavanje politike autentifikacije podataka neće dovršiti rukovanje koje nikada nije prošlo razmjenu certifikata.

Provjerite podatkovni kanal odvojeno

Kada je sesija uspostavljena, potvrdite pregovaranu šifru i način rada podataka, izvođenje ključeva i ponašanje pri obnavljanju ključa. U OpenVPN-u linija podatkovnog kanala navodi šifru i veličinu ključa koji su stvarno inicijalizirani, a to se može razlikovati od prve šifre u profilu.

Zatim provjerite što je sesija instalirala. PUSH_REPLY može dodati rute, DNS poslužitelj i direktivu redirect-gateway, a bilo što od toga može poslati promet tamo gdje ga aplikacija ne može koristiti. Za IKEv2 ekvivalentno je pitanje podudaraju li se selektori CHILD asocijacije s adresama u stvarnom toku.

tls-auth i tls-crypt pripadaju kontrolnom kanalu. Oni autentificiraju ili šifriraju rukovanje i ne biraju šifru podataka aplikacije. Ako dodate jedan od njih očekujući promjenu putanje podataka, jedino što ste promijenili jest rukovanje.

Povežite nazive s IKEv2 i OpenVPN

IKEv2 ima IKE sigurnosnu asocijaciju i jednu ili više CHILD asocijacija. IKE asocijacija nosi kontrolne razmjene; CHILD asocijacija nosi zaštićeni promet i njezine selektore. O njima se pregovara i ključevi im se obnavljaju prema odvojenim rasporedima, pa jedna može biti zdrava dok druga nije.

ESP nema unutar sebe kontrolni kanal u stilu TLS-a. Kontrolni protokol je IKE, a ESP je zaštićeni teret. Nazivati ESP podatkovnim kanalom labava je kratica koja zbunjuje kada čitate snimku paketa, jer snimka prikazuje IKE poruke i ESP pakete kao različite protokole na žici.

Držite mapiranje jasnim u svojim bilješkama: OpenVPN kontrolni kanal i IKE SA upravljačka su strana, OpenVPN podatkovni kanal i CHILD SA prometna su strana, a implementacije nisu zamjenjive čak i kada podjela izgleda slično.

Prestanite mijenjati pogrešnu postavku

Prođite putanjom u jednom smjeru: kontrolna razmjena, zaštita podataka, prosljeđivanje, zatim razrješavanje imena. Zaustavite se na prvom stupnju koji zataji i popravite samo taj stupanj. Povezana sesija s ispravnim pingom prema pristupniku, ali bez prometa aplikacije, problem je prosljeđivanja ili selektora, a ne rukovanja.

Zapišite dokaze za svaki stupanj odvojeno u tiketu: liniju kontrolnog dnevnika, pregovarane parametre podataka, instalirane rute i jedan stvarni zahtjev. Takva struktura sprječava da se ispravna provjera identiteta oslabi kako bi se popravio kasniji problem usmjeravanja koji ona nikada nije izazvala, i sprječava da se promjena šifre podataka proda kao popravak pogreške certifikata.

Dokumentacija OpenVPN protokola referenca je za podjelu kontrole i podataka; upotrijebite je kada sučelje dobavljača koristi druge riječi za iste dvije funkcije.