Kanali i kontrollit dhe kanali i të dhënave në VPN: kontrolloni shtresën e duhur

Klienti thotë i lidhur, serveri sheh një partner dhe aplikacioni vazhdon të mos arrijë asgjë. Në atë moment pyetja e dobishme nuk është cila shifër të ndryshohet, por cili kanal dështoi. OpenVPN emërton dy funksione në mënyrë të qartë: një kanal kontrolli që negocion dhe administron sesionin, dhe një kanal të dhënash që transporton trafikun e mbrojtur. IKEv2 shpreh një ndarje të ngjashme përmes shoqatës IKE dhe shoqatës CHILD. Kryeni kontrollet më poshtë me radhë, sepse një rregullim i rrugës së të dhënave i aplikuar në një defekt të rrugës së kontrollit harxhon një dritare ndryshimi.

Emërtoni kanalin përpara se ta korrigjoni

Ana e kontrollit negocion materialin e sigurisë, vërteton partnerët dhe administron lidhjen. Ana e të dhënave transporton trafikun e zgjedhur sapo ekziston gjendja e nevojshme.

Dështojnë ndryshe. Një defekt kontrolli zakonisht ju lë pa asnjë sesion të përdorshëm, ose me një sesion që rinegocion në cikël. Një defekt i të dhënave lë një sesion që duket i shëndetshëm ndërsa paketat hidhen, drejtohen gabimisht ose mbrohen me parametra që ana tjetër nuk do t'i pranojë. Rreshti i regjistrit që po lexoni ju thotë në cilën nga dy gjendjet jeni, prandaj lexoni etiketën përpara tekstit të gabimit.

Kontrolloni shkëmbimin e kontrollit

Konfirmoni që shtrëngimi i duarve përfundon dhe që të dyja anët bien dakord për transportin, versionin e TLS dhe metodën e vërtetimit. Regjistrat e OpenVPN shtypin rreshta të veçantë për kanalin e kontrollit dhe kanalin e të dhënave, dhe është në rreshtin e kontrollit që shfaqet një mospërputhje certifikate, versioni TLS ose tls-crypt.

Nëse shkëmbimi i kontrollit dështon, shikoni portën e arritshme, zinxhirin e certifikatave dhe datat e vlefshmërisë së tij, orën e sistemit, mbivendosjen e shifrave midis klientit dhe serverit dhe çdo çelës tls-auth ose tls-crypt. Një zinxhir i madh certifikatash mund të dështojë edhe në MTU-në e rrugës përpara se të përfundojë çdo vërtetim, gjë që duket si skadim kohe dhe jo si gabim kriptografik.

Rregulloni defektet e kontrollit me cilësime kontrolli. Rritja e shifrës së të dhënave ose lehtësimi i politikës së vërtetimit të të dhënave nuk do të përfundojë një shtrëngim duarsh që nuk kaloi kurrë shkëmbimin e certifikatave.

Kontrolloni kanalin e të dhënave veçmas

Pasi sesioni është ngritur, konfirmoni shifrën dhe modalitetin e të dhënave të negociuara, nxjerrjen e çelësave dhe sjelljen në rinovimin e çelësit. Në OpenVPN, rreshti i kanalit të të dhënave emërton shifrën dhe madhësinë e çelësit që u inicializuan në të vërtetë, dhe ato mund të ndryshojnë nga shifra e parë në profil.

Pastaj kontrolloni çfarë instaloi sesioni. Një PUSH_REPLY mund të shtojë rrugë, një server DNS dhe një direktivë redirect-gateway, dhe secila prej tyre mund ta dërgojë trafikun atje ku aplikacioni nuk mund ta përdorë. Për IKEv2, pyetja ekuivalente është nëse selektorët e shoqatës CHILD përputhen me adresat në rrjedhën aktuale.

tls-auth dhe tls-crypt i përkasin kanalit të kontrollit. Ato vërtetojnë ose kriptojnë shtrëngimin e duarve dhe nuk zgjedhin shifrën e të dhënave të aplikacionit. Nëse shtoni njërin prej tyre duke pritur një ndryshim në rrugën e të dhënave, e vetmja gjë që keni ndryshuar është shtrëngimi i duarve.

Lidhni emrat me IKEv2 dhe OpenVPN

IKEv2 ka një shoqatë sigurie IKE dhe një ose më shumë shoqata CHILD. Shoqata IKE transporton shkëmbimet e kontrollit; shoqata CHILD transporton trafikun e mbrojtur dhe selektorët e saj. Negociohen dhe rinovojnë çelësat sipas orareve të veçanta, kështu që njëra mund të jetë e shëndetshme ndërsa tjetra jo.

ESP nuk ka brenda vetes një kanal kontrolli në stil TLS. Protokolli i kontrollit është IKE, dhe ESP është ngarkesa e mbrojtur. Ta quash ESP kanalin e të dhënave është një shkurtim i lirshëm që bëhet konfuz kur lexoni një kapje paketash, sepse kapja tregon mesazhet IKE dhe paketat ESP si protokolle të ndryshme në tel.

Mbajeni përputhjen të qartë në shënimet tuaja: kanali i kontrollit i OpenVPN dhe IKE SA janë ana e menaxhimit, kanali i të dhënave i OpenVPN dhe CHILD SA janë ana e trafikut, dhe implementimet nuk janë të këmbyeshme edhe kur ndarja duket e ngjashme.

Ndaleni ndryshimin e cilësimit të gabuar

Përshkoni rrugën në një drejtim: shkëmbim kontrolli, mbrojtje e të dhënave, përcjellje dhe pastaj zgjidhje emrash. Ndaloni në fazën e parë që dështon dhe rregulloni vetëm atë fazë. Një sesion i lidhur me ping që funksionon drejt portës, por pa trafik aplikacioni, është problem përcjelljeje ose selektorësh, jo problem shtrëngimi duarsh.

Shkruani provat për secilën fazë veçmas në tiketë: rreshtin e regjistrit të kontrollit, parametrat e të dhënave të negociuara, rrugët e instaluara dhe një kërkesë reale. Ajo strukturë parandalon dobësimin e një kontrolli identiteti që funksionon, për të rregulluar një problem rrugëtimi të mëvonshëm që nuk e shkaktoi kurrë, dhe parandalon shitjen e një ndryshimi të shifrës së të dhënave si rregullim i një gabimi certifikate.

Dokumentacioni i protokollit OpenVPN është referenca për ndarjen midis kontrollit dhe të dhënave; përdoreni kur ndërfaqja e një furnizuesi përdor fjalë të tjera për të njëjtat dy funksione.