Koraci VPN rukovanja: šta se dešava pre nego što krene saobraćaj

Klik na Poveži pokreće četiri odvojena posla koji uspevaju ili ne uspevaju nezavisno. Klijent mora stići do osluškivača, dogovoriti ko je sagovornik, izvesti ključeve i zatim predati ispravan tunel ostatku sistema. Većina neuspelih veza dijagnostikuje se u pogrešnom poslu. Zato je prva greška važnija od trećeg pokušaja.

Prvo stignite do osluškivača

Pre nego što se razmeni bilo kakav identitet, klijent razrešava ime, bira rutu i otvara prenos ka portu. Zarobljeni portal koji odgovara na sve, zatvoren port i pogrešno ime hosta ne uspevaju ovde, i nijedno od toga nije problem autentikacije. Promena lozinke ne može popraviti nijedno od tri. Pročitajte prvi red greške pre nego što dirnete akreditive.

Istek vremena, odbijanje sertifikata i odbijen nalog tri su različita kvara sa tri različite provere. Njihovo prvo razdvajanje sprečava da se mrežni problem ispravlja kao problem akreditiva.

Dokažite sagovornika, zatim izvedite ključeve

Svaki protokol treba način da prepozna predviđeni server, bilo kroz podešeni javni ključ ili lanac sertifikata. Prijava korisnika je dodatak toj proveri, a ne njena zamena. Server koji prihvati vašu lozinku nije dokazao ništa o sopstvenom identitetu. Zato zajednička tajna otkucana u klijentu nije zamena za proveru ko je odgovorio.

Razmena zatim izvodi ključeve saobraćaja iz sopstvenih ulaza protokola, a lozinka za prijavu obično nije ključ koji se utiskuje na svaki paket. Dugoročni identitetski materijal i kratkotrajni sesijski ključevi imaju različit životni vek i različite zadatke. Upravo o tom razdvajanju govori unapredna tajnost.

Držite proveru uključenom dok rešavate probleme, jer tunel koji se poveže nakon što isključite proveru nije dokazao ništa osim da je ta provera nešto radila. Zabeležite šta ste promenili i vratite to pre sledećeg testa.

Tri protokola, tri razgovora

U OpenVPN postavci zasnovanoj na TLS kontrolni kanal pregovara sigurnosne parametre dok podatkovni kanal nosi saobraćaj tunela, pa opcija podatkovnog kanala i problem sa sertifikatom žive na različitim mestima. IKEv2 autentifikuje oba učesnika i zatim uspostavlja IPsec sigurnosne asocijacije sa sopstvenim rokovima. WireGuard izvodi ključeve kroz svoju razmenu zasnovanu na Noiseu i namerno drži mašinu stanja malom. Znanje koji od ta tri pokrećete odlučuje koji je dnevnik vredan čitanja.

Slično izgledajući klijenti ne znače da su poruke ispod zamenljive, a polje konfiguracije koje postoji u jednom proizvodu možda nema pandan u drugom. Kopiranje profila između njih je nagađanje, a ne migracija.

Šta rukovanje ne čini

Rute, razrešavanje imena i politika odredišta sve ostaju nakon toga. Interni sajt može ostati nedostupan jer nedostaje ruta njegove podmreže, iako je sagovornik ispravno autentifikovan i tunel je aktivan. Tretirati to kao slabu enkripciju šalje vas da tražite u pogrešnom sloju, i obično se završava promenom šifre koja ništa ne popravlja.

Osvežavanje ključeva i ponovno povezivanje takođe izgledaju isto na većini prikaza stanja, i nijedno ne kaže da li je običan saobraćaj bio blokiran tokom prekida. Samo politika neuspeha klijenta odgovara na to pitanje, pa čitajte politiku, a ne ikonu.

Radite faze gore navedenim redom i zaustavite se na prvoj koja proizvede grešku. Svaka kasnija faza nasleđuje stanje prethodnih, pa neuspeh u trećoj fazi ne govori ništa o četvrtoj.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal