Krmilni in podatkovni kanal VPN: preverite pravo plast

Odjemalec pravi povezan, strežnik vidi partnerja, aplikacija pa še vedno ne doseže ničesar. V tem trenutku koristno vprašanje ni, katero šifro zamenjati, temveč kateri kanal je odpovedal. OpenVPN izrecno imenuje dve funkciji: krmilni kanal, ki se pogaja o seji in jo upravlja, ter podatkovni kanal, ki prenaša zaščiten promet. IKEv2 izraža podobno delitev prek asociacije IKE in asociacije CHILD. Izvedite spodnje preglede po vrsti, ker popravek podatkovne poti, uporabljen pri okvari krmilne poti, zapravi okno sprememb.

Poimenujte kanal, preden ga razhroščujete

Krmilna stran se pogaja o varnostnem gradivu, preverja partnerje in upravlja povezavo. Podatkovna stran prenaša izbrani promet, ko obstaja potrebno stanje.

Odpovejo različno. Okvara krmiljenja vas običajno pusti povsem brez uporabne seje ali s sejo, ki v zanki znova pogaja. Okvara podatkov pusti sejo, ki je videti zdrava, medtem ko se paketi zavržejo, napačno usmerijo ali zaščitijo s parametri, ki jih druga stran ne bo sprejela. Vrstica dnevnika, ki jo berete, vam pove, v katerem od dveh primerov ste, zato preberite oznako pred besedilom napake.

Preverite krmilno izmenjavo

Potrdite, da se rokovanje dokonča in da se obe strani strinjata o prenosu, različici TLS in metodi preverjanja pristnosti. Dnevniki OpenVPN tiskajo ločene vrstice za krmilni kanal in podatkovni kanal, in prav v krmilni vrstici se pokaže neskladje certifikata, različice TLS ali tls-crypt.

Če krmilna izmenjava spodleti, poglejte dosegljiva vrata, verigo potrdil in njene datume veljavnosti, sistemsko uro, prekrivanje šifer med odjemalcem in strežnikom ter kateri koli ključ tls-auth ali tls-crypt. Velika veriga potrdil lahko spodleti tudi na MTU poti, preden se konča kakršno koli preverjanje pristnosti, kar je videti kot časovna omejitev in ne kot kriptografska napaka.

Okvare krmiljenja popravljajte z nastavitvami krmiljenja. Povečanje podatkovne šifre ali omilitev politike preverjanja pristnosti podatkov ne bo dokončalo rokovanja, ki nikoli ni prišlo mimo izmenjave potrdil.

Preverite podatkovni kanal ločeno

Ko je seja vzpostavljena, potrdite dogovorjeno podatkovno šifro in način, izpeljavo ključev in vedenje pri obnovi ključa. V OpenVPN vrstica podatkovnega kanala navaja šifro in velikost ključa, ki sta bila dejansko inicializirana, in ta se lahko razlikujeta od prve šifre v profilu.

Nato preverite, kaj je seja namestila. PUSH_REPLY lahko doda poti, strežnik DNS in direktivo redirect-gateway, in katera koli od njih lahko pošlje promet tja, kjer ga aplikacija ne more uporabiti. Pri IKEv2 je enakovredno vprašanje, ali se izbirniki asociacije CHILD ujemajo z naslovi v dejanskem toku.

tls-auth in tls-crypt spadata h krmilnemu kanalu. Preverjata ali šifrirata rokovanje in ne izbíra ta podatkovne šifre aplikacije. Če dodate enega od njiju v pričakovanju spremembe podatkovne poti, ste spremenili le rokovanje.

Povežite imena z IKEv2 in OpenVPN

IKEv2 ima varnostno asociacijo IKE in eno ali več asociacij CHILD. Asociacija IKE prenaša krmilne izmenjave; asociacija CHILD prenaša zaščiten promet in svoje izbirnike. Pogajata se in obnavljata ključe po ločenih urnikih, zato je ena lahko zdrava, medtem ko druga ni.

ESP nima v sebi krmilnega kanala v slogu TLS. Krmilni protokol je IKE, ESP pa je zaščiten tovor. Imenovati ESP podatkovni kanal je ohlapna kratica, ki postane zavajajoča pri branju zajema paketov, ker zajem prikazuje sporočila IKE in pakete ESP kot različna protokola na vodu.

Držite preslikavo jasno v svojih zapiskih: krmilni kanal OpenVPN in IKE SA sta upravljavska stran, podatkovni kanal OpenVPN in CHILD SA sta prometna stran, in izvedbe niso zamenljive, tudi ko je delitev videti podobna.

Nehajte spreminjati napačno nastavitev

Prehodite pot v eno smer: krmilna izmenjava, zaščita podatkov, posredovanje in nato razreševanje imen. Ustavite se pri prvi stopnji, ki spodleti, in popravite samo to stopnjo. Povezana seja z delujočim pingom do prehoda, a brez prometa aplikacije, je težava posredovanja ali izbirnikov, ne rokovanja.

Zapišite dokaze za vsako stopnjo ločeno v zahtevek: vrstico krmilnega dnevnika, dogovorjene podatkovne parametre, nameščene poti in eno resnično zahtevo. Takšna zgradba preprečuje, da bi oslabili delujoče preverjanje identitete zaradi popravljanja poznejše težave z usmerjanjem, ki je nikoli ni povzročilo, in preprečuje, da bi spremembo podatkovne šifre prodali kot popravek napake s potrdilom.

Dokumentacija protokola OpenVPN je referenca za delitev med krmiljenjem in podatki; uporabite jo, ko vmesnik ponudnika uporablja druge besede za isti dve funkciji.