Riadiace a dátové kanály VPN: skontrolujte správnu vrstvu

Klient hlási pripojené, server vidí protistranu a aplikácia sa napriek tomu nikam nedostane. V tej chvíli nie je užitočná otázka, ktorý šifrovací algoritmus zmeniť, ale ktorý kanál zlyhal. OpenVPN pomenúva dve funkcie výslovne: riadiaci kanál, ktorý vyjednáva reláciu a spravuje ju, a dátový kanál, ktorý prenáša chránenú premávku. IKEv2 vyjadruje podobné rozdelenie cez asociáciu IKE a asociáciu CHILD. Vykonajte kontroly nižšie v poradí, pretože oprava dátovej cesty aplikovaná na poruchu riadiacej cesty plytvá oknom zmien.

Pomenujte kanál pred ladením

Strana riadenia vyjednáva bezpečnostný materiál, overuje protistrany a spravuje spojenie. Strana údajov prenáša vybranú premávku, keď existuje potrebný stav.

Zlyhávajú rôzne. Porucha riadenia vás zvyčajne nechá úplne bez použiteľnej relácie alebo s reláciou, ktorá v slučke znova vyjednáva. Porucha údajov necháva reláciu, ktorá vyzerá zdravo, kým sa pakety zahadzujú, smerujú nesprávne alebo sa chránia parametrami, ktoré druhá strana neprijme. Riadok denníka, ktorý čítate, vám hovorí, v ktorom z dvoch prípadov ste, preto si prečítajte označenie skôr než text chyby.

Skontrolujte riadiacu výmenu

Overte, že sa podanie rúk dokončí a že obe strany sa zhodujú na transporte, verzii TLS a metóde overovania. Denníky OpenVPN tlačia samostatné riadky pre riadiaci kanál a dátový kanál a práve v riadiacom riadku sa objaví nesúlad certifikátu, verzie TLS alebo tls-crypt.

Ak riadiaca výmena zlyhá, pozrite sa na dostupný port, reťaz certifikátov a jeho dátumy platnosti, systémové hodiny, prekrytie šifier medzi klientom a serverom a akýkoľvek kľúč tls-auth alebo tls-crypt. Veľký reťaz certifikátov môže zlyhať aj na MTU cesty skôr, než sa dokončí akékoľvek overenie, čo vyzerá ako časový limit a nie ako kryptografická chyba.

Opravujte poruchy riadenia nastaveniami riadenia. Zvýšenie dátovej šifry alebo uvoľnenie zásady overovania údajov nedokončí podanie rúk, ktoré nikdy neprešlo výmenou certifikátov.

Skontrolujte dátový kanál osobitne

Keď je relácia postavená, overte vyjednanú dátovú šifru a režim, odvodenie kľúčov a správanie pri obnove kľúča. V OpenVPN riadok dátového kanála uvádza šifru a veľkosť kľúča, ktoré boli skutočne inicializované, a tieto sa môžu líšiť od prvej šifry v profile.

Potom skontrolujte, čo relácia nainštalovala. PUSH_REPLY môže pridať trasy, server DNS a direktívu redirect-gateway a ktorákoľvek z nich môže poslať premávku tam, kde ju aplikácia nedokáže použiť. Pri IKEv2 je ekvivalentnou otázkou, či selektory asociácie CHILD zodpovedajú adresám v skutočnom toku.

tls-auth a tls-crypt patria k riadiacemu kanálu. Overujú alebo šifrujú podanie rúk a nevyberajú dátovú šifru aplikácie. Ak pridáte jeden z nich s očakávaním zmeny dátovej cesty, jediné, čo ste zmenili, je podanie rúk.

Priraďte názvy k IKEv2 a OpenVPN

IKEv2 má bezpečnostnú asociáciu IKE a jednu alebo viac asociácií CHILD. Asociácia IKE prenáša riadiace výmeny; asociácia CHILD prenáša chránenú premávku a jej selektory. Vyjednávajú sa a obnovujú kľúče podľa oddelených harmonogramov, takže jedna môže byť zdravá, kým druhá nie je.

ESP nemá vnútri riadiaci kanál v štýle TLS. Riadiacim protokolom je IKE a ESP je chránený obsah. Nazývať ESP dátovým kanálom je voľná skratka, ktorá začína miasť pri čítaní zachytenia paketov, pretože zachytenie ukazuje správy IKE a pakety ESP ako rôzne protokoly na linke.

Držte priradenie výslovne vo svojich poznámkach: riadiaci kanál OpenVPN a IKE SA sú strana správy, dátový kanál OpenVPN a CHILD SA sú strana premávky, a implementácie nie sú zameniteľné, ani keď rozdelenie vyzerá podobne.

Prestaňte meniť nesprávne nastavenie

Prejdite cestu jedným smerom: riadiaca výmena, ochrana údajov, preposielanie a potom preklad názvov. Zastavte sa pri prvom stupni, ktorý zlyhá, a opravte len ten stupeň. Pripojená relácia s fungujúcim pingom na bránu, ale bez premávky aplikácie, je problém preposielania alebo selektorov, nie podania rúk.

Zapíšte dôkazy pre každý stupeň osobitne do tiketu: riadok riadiaceho denníka, vyjednané dátové parametre, nainštalované trasy a jednu skutočnú požiadavku. Taká štruktúra bráni tomu, aby sa fungujúce overenie identity oslabilo kvôli oprave neskoršieho problému so smerovaním, ktorý nikdy nespôsobilo, a bráni tomu, aby sa zmena dátovej šifry predala ako oprava chyby certifikátu.

Dokumentácia protokolu OpenVPN je referenciou pre rozdelenie riadenia a údajov; použite ju, keď rozhranie dodávateľa používa iné slová pre tie isté dve funkcie.