Hapat e shtrëngimit të duarve të VPN: çfarë ndodh para se të rrjedhë trafiku

Shtypja e Lidhu nis katër detyra të veçanta që ia dalin ose dështojnë në mënyrë të pavarur. Klienti duhet të arrijë te një dëgjues, të biem dakord kush është pala, të nxjerrë çelësat dhe pastaj t’i dorëzojë një tunel funksional pjesës tjetër të sistemit. Shumica e lidhjeve të dështuara diagnostikohen në detyrën e gabuar. Prandaj gabimi i parë vlen më shumë se përpjekja e tretë.

Së pari arrini te dëgjuesi

Përpara se të shkëmbehet ndonjë identitet, klienti zgjidh një emër, zgjedh një rrugë dhe hap një transport drejt një porte. Një portal i burgosur që përgjigjet për gjithçka, një portë e mbyllur dhe një emër hosti i gabuar dështojnë të gjitha këtu, dhe asnjë prej tyre nuk është problem vërtetimi. Ndryshimi i një fjalëkalimi nuk mund të rregullojë asnjë nga të tre. Lexoni rreshtin e parë të gabimit përpara se të prekni kredencialet.

Skadimi i kohës, refuzimi i certifikatës dhe një llogari e refuzuar janë tre defekte të ndryshme me tre kontrolle të ndryshme. Renditja e tyre së pari është ajo që pengon një problem rrjeti të diagnostikohet si problem kredencialesh.

Vërtetoni palën, pastaj nxirrni çelësat

Çdo protokoll ka nevojë për një mënyrë për të njohur serverin e synuar, qoftë përmes një çelësi publik të konfiguruar, qoftë përmes një zinxhiri certifikatash. Hyrja e përdoruesit është shtesë e atij kontrolli, jo zëvendësim i tij. Një server që pranon fjalëkalimin tuaj nuk ka provuar asgjë për identitetin e vet. Prandaj një sekret i përbashkët i shtypur në një klient nuk zëvendëson verifikimin se kush u përgjigj.

Shkëmbimi pastaj nxjerr çelësat e trafikut nga inputet e vetë protokollit, dhe fjalëkalimi i hyrjes zakonisht nuk është çelësi që stampohet në çdo paketë. Materiali i identitetit afatgjatë dhe çelësat e sesionit afatshkurtër kanë jetëgjatësi dhe detyra të ndryshme. Pikërisht për këtë ndarje flet konfidencialiteti përpara.

Mbajeni verifikimin aktiv ndërsa zgjidhni probleme, sepse një tunel që lidhet pasi çaktivizoni një kontroll nuk ka provuar asgjë tjetër veçse që kontrolli po bënte diçka. Shënoni çfarë ndryshuat dhe kthejeni përpara testit të radhës.

Tre protokolle, tre biseda

Në një vendosje OpenVPN të bazuar në TLS kanali i kontrollit negocion parametrat e sigurisë ndërsa kanali i të dhënave mbart trafikun e tunelit, kështu që një opsion i kanalit të të dhënave dhe një problem certifikate jetojnë në vende të ndryshme. IKEv2 vërteton të dy pjesëmarrësit dhe pastaj vendos shoqata sigurie IPsec me jetëgjatësitë e tyre. WireGuard nxjerr çelësat përmes shkëmbimit të tij të bazuar në Noise dhe e mban makinën e gjendjes qëllimisht të vogël. Të dish se cilin nga të tre po ekzekutoni vendos se cili regjistër ia vlen të lexohet.

Klientët që duken njësoj nuk nënkuptojnë mesazhe të këmbyeshme poshtë, dhe një fushë konfigurimi që ekziston në një produkt mund të mos ketë ekuivalent në një tjetër. Kopjimi i një profili midis tyre është hamendësim dhe jo migrim.

Çfarë nuk bën shtrëngimi i duarve

Rrugët, zgjidhja e emrave dhe politika e destinacionit të gjitha mbeten pas. Një sajt i brendshëm mund të mbetet i paarritshëm sepse mungon rruga e nënrrjetit të tij, edhe pse pala u vërtetua saktë dhe tuneli është aktiv. Trajtimi i kësaj si kriptim i dobët ju dërgon të kërkoni në shtresën e gabuar, dhe zakonisht përfundon me një ndryshim kriptimi që nuk rregullon asgjë.

Rifreskimi i çelësave dhe rilidhja duken gjithashtu njësoj në shumicën e ekraneve të statusit, dhe asnjëra nuk ju thotë nëse trafiku i zakonshëm u bllokua gjatë ndërprerjes. Vetëm politika e dështimit të klientit përgjigjet për këtë pyetje, prandaj lexoni politikën dhe jo ikonën.

Përpunoni fazat në rendin më sipër dhe ndaloni në të parën që prodhon një gabim. Çdo fazë pasardhëse trashëgon gjendjen e atyre të mëparshme, prandaj një dështim në fazën e tretë nuk thotë asgjë për të katërtën.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal