Контролни и податочни канал VPN-а: проверите прави слој

Клијент каже да је повезан, сервер види партнера, а апликација и даље нигде не стиже. У том тренутку корисно питање није који шифар променити, него који је канал отказао. OpenVPN изричито именује две функције: контролни канал који преговара о сесији и њоме управља, и податочни канал који носи заштићени саобраћај. IKEv2 изражава сличну поделу кроз IKE асоцијацију и CHILD асоцијацију. Изведите провере испод по реду, јер поправка путање података примењена на квар контролне путање траћи прозор за промену.

Именујте канал пре него што га отклоните

Контролна страна преговара о безбедносном материјалу, проверава идентитет партнера и управља везом. Податочна страна носи изабрани саобраћај када потребно стање постоји.

Они отказују различито. Квар контроле вас обично оставља без икакве употребљиве сесије, или са сесијом која у петљи поново преговара. Квар података оставља сесију која изгледа здраво док се пакети одбацују, погрешно усмеравају или штите параметрима које друга страна неће прихватити. Линија дневника коју читате каже у ком сте од та два случаја, зато прочитајте ознаку пре текста грешке.

Проверите контролну размену

Потврдите да се руковање завршава и да се обе стране слажу о транспорту, верзији TLS-а и методи аутентификације. OpenVPN дневници штампају одвојене линије контролног канала и податочног канала, а контролна линија је место где се појављује несагласност сертификата, верзије TLS-а или tls-crypt.

Ако контролна размена закаже, погледајте доступни порт, ланац сертификата и његове датуме важности, системски сат, преклапање шифара између клијента и сервера и сваки tls-auth или tls-crypt кључ. Велики ланац сертификата може такође заказати на MTU путање пре него што се заврши било која аутентификација, што изгледа као истек времена, а не као криптографска грешка.

Поправљајте кварove контроле контролним подешавањима. Подизање шифре података или ублажавање политике аутентификације података неће довршити руковање које никада није прошло размену сертификата.

Проверите податочни канал одвојено

Када је сесија подигнута, потврдите договорену шифру и режим података, извођење кључева и понашање при обнављању кључа. У OpenVPN-у линија податочног канала наводи шифру и величину кључа који су стварно иницијализовани, а то се може разликовати од прве шифре у профилу.

Затим проверите шта је сесија инсталирала. PUSH_REPLY може додати руте, DNS сервер и директиву redirect-gateway, а било шта од тога може послати саобраћај тамо где апликација не може да га користи. За IKEv2 еквивалентно је питање да ли се селектори CHILD асоцијације поклапају са адресама у стварном току.

tls-auth и tls-crypt припадају контролном каналу. Они аутентификују или шифрују руковање и не бирају шифру података апликације. Ако додате један од њих очекујући промену путање података, једино што сте променили је руковање.

Повежите називе са IKEv2 и OpenVPN

IKEv2 има IKE безбедносну асоцијацију и једну или више CHILD асоцијација. IKE асоцијација носи контролне размене; CHILD асоцијација носи заштићени саобраћај и њене селекторе. О њима се преговара и кључеви им се обнављају по одвојеним распоредима, па једна може бити здрава док друга није.

ESP нема унутра контролни канал у стилу TLS-а. Контролни протокол је IKE, а ESP је заштићени терет. Називати ESP податочним каналом је лабава кратица која збуњује када читате снимак пакета, јер снимак приказује IKE поруке и ESP пакете као различите протоколе на жици.

Држите повезивање јасним у својим белешкама: OpenVPN контролни канал и IKE SA су управљачка страна, OpenVPN податочни канал и CHILD SA су саобраћајна страна, а имплементације нису заменљиве чак и када подела изгледа слично.

Престаните да мењате погрешну поставку

Прођите путањом у једном смеру: контролна размена, заштита података, прослеђивање, затим разрешавање имена. Зауставите се на првом ступњу који закаже и поправите само тај ступањ. Повезана сесија са исправним пингом ка приступној тачки, али без саобраћаја апликације, проблем је прослеђивања или селектора, а не руковања.

Запишите доказе за сваки ступањ одвојено у тикету: линију контролног дневника, преговаране параметре података, инсталиране руте и један стварни захтев. Таква структура спречава да се исправна провера идентитета ослаби како би се поправио каснији проблем усмеравања који она никада није изазвала, и спречава да се промена шифре података прода као поправка грешке сертификата.

Документација OpenVPN протокола је референца за поделу контроле и података; користите је када интерфејс добављача користи друге речи за исте две функције.