Chaneli ya udhibiti na chaneli ya data ya VPN: angalia tabaka sahihi

Mteja anasema ameunganishwa, seva inaona mwenzake, na programu bado haifikii mahali popote. Wakati huo swali lenye manufaa si lipi sifa ya kubadilisha, bali ni chaneli ipi ilishindikana. OpenVPN inataja kazi mbili kwa uwazi: chaneli ya udhibiti inayojadiliana na kusimamia kikao, na chaneli ya data inayobeba trafiki iliyolindwa. IKEv2 inaeleza mgawanyiko kama huo kupitia muungano wa IKE na muungano wa CHILD. Fanya ukaguzi ulio hapa chini kwa mpangilio, kwa sababu marekebisho ya njia ya data yanayotumika kwenye hitilafu ya njia ya udhibiti hutumia vibaya dirisha la mabadiliko.

Taja chaneli kabla ya kuirekebisha

Upande wa udhibiti hujadiliana kuhusu nyenzo za usalama, huthibitisha wenzake na husimamia muunganisho. Upande wa data hubeba trafiki iliyochaguliwa pindi hali inayohitajika inapokuwepo.

Hushindwa kwa namna tofauti. Hitilafu ya udhibiti kwa kawaida hukuacha bila kikao chochote kinachoweza kutumika, au na kikao kinachojadiliana upya katika mzunguko. Hitilafu ya data huacha kikao kinachoonekana kizuri wakati pakiti zinatupwa, zinaelekezwa vibaya, au zinalindwa kwa vigezo ambavyo upande mwingine hautakubali. Mstari wa kumbukumbu unaosoma unakuambia uko katika hali ipi kati ya mbili, kwa hiyo soma lebo kabla ya maandishi ya hitilafu.

Kagua mabadilishano ya udhibiti

Hakikisha kuwa usalimiano unakamilika na kwamba pande zote mbili zinakubaliana kuhusu usafirishaji, toleo la TLS na njia ya uthibitishaji. Kumbukumbu za OpenVPN huchapisha mistari tofauti kwa chaneli ya udhibiti na chaneli ya data, na ni kwenye mstari wa udhibiti ambapo kutokulingana kwa cheti, toleo la TLS au tls-crypt huonekana.

Ikiwa mabadilishano ya udhibiti yanashindikana, angalia bandari inayofikika, mnyororo wa vyeti na tarehe zake za uhalali, saa ya mfumo, mwingiliano wa sifa kati ya mteja na seva, na ufunguo wowote wa tls-auth au tls-crypt. Mnyororo mkubwa wa vyeti unaweza pia kushindikana kwenye MTU ya njia kabla ya uthibitishaji wowote kukamilika, jambo ambalo linaonekana kama muda kuisha na si kama hitilafu ya kriptografia.

Rekebisha hitilafu za udhibiti kwa mipangilio ya udhibiti. Kuongeza sifa ya data au kulegeza sera ya uthibitishaji wa data hakutakamilisha usalimiano ambao haukuwahi kuvuka mabadilishano ya vyeti.

Kagua chaneli ya data kwa kutenga

Kikao kikiwa juu, hakikisha sifa na hali ya data iliyokubaliwa, uzalishaji wa funguo na tabia ya kuhuisha ufunguo. Katika OpenVPN, mstari wa chaneli ya data hutaja sifa na ukubwa wa ufunguo ulioanzishwa kwa hakika, na hivyo vinaweza kutofautiana na sifa ya kwanza kwenye wasifu.

Kisha kagua kile kikao kilichosakinisha. PUSH_REPLY inaweza kuongeza njia, seva ya DNS na maagizo ya redirect-gateway, na yoyote kati ya hizo inaweza kutuma trafiki mahali ambapo programu haiwezi kuitumia. Kwa IKEv2, swali linalolingana ni kama vichaguzi vya muungano wa CHILD vinalingana na anwani katika mtiririko halisi.

tls-auth na tls-crypt ni za chaneli ya udhibiti. Zinathibitisha au zinasimba usalimiano na hazichagui sifa ya data ya programu. Ukiiongeza moja yao ukitarajia mabadiliko kwenye njia ya data, kitu pekee ulichobadilisha ni usalimiano.

Unganisha majina na IKEv2 na OpenVPN

IKEv2 ina muungano wa usalama wa IKE na muungano mmoja au zaidi wa CHILD. Muungano wa IKE hubeba mabadilishano ya udhibiti; muungano wa CHILD hubeba trafiki iliyolindwa na vichaguzi vyake. Hujadiliwa na funguo zake huhuishwa kwa ratiba tofauti, kwa hiyo mmoja unaweza kuwa mzuri wakati mwingine hauko.

ESP haina chaneli ya udhibiti ya mtindo wa TLS ndani yake. Itifaki ya udhibiti ni IKE, na ESP ni mzigo uliolindwa. Kuita ESP chaneli ya data ni ufupisho legevu ambao huwa wa kuchanganya wakati wa kusoma nasaba ya pakiti, kwa sababu nasaba inaonyesha jumbe za IKE na pakiti za ESP kama itifaki tofauti kwenye waya.

Weka uhusiano huo wazi katika madokezo yako: chaneli ya udhibiti ya OpenVPN na IKE SA ni upande wa usimamizi, chaneli ya data ya OpenVPN na CHILD SA ni upande wa trafiki, na utekelezaji hauwezi kubadilishana hata pale mgawanyiko unapoonekana sawa.

Acha kubadilisha mpangilio usio sahihi

Pitia njia kwa mwelekeo mmoja: mabadilishano ya udhibiti, ulinzi wa data, upelekaji, kisha utatuzi wa majina. Simama katika hatua ya kwanza inayoshindikana na rekebisha hatua hiyo pekee. Kikao kilichounganishwa chenye ping inayofanya kazi kuelekea lango lakini bila trafiki ya programu ni tatizo la upelekaji au vichaguzi, si tatizo la usalimiano.

Andika ushahidi kwa kila hatua kwa kutenga kwenye tiketi: mstari wa kumbukumbu ya udhibiti, vigezo vya data vilivyokubaliwa, njia zilizosakinishwa na ombi moja halisi. Muundo huo huzuia uthibitishaji wa utambulisho unaofanya kazi kudhoofishwa ili kurekebisha tatizo la uelekezaji la baadaye ambalo haukuwahi kulisababisha, na huzuia mabadiliko ya sifa ya data kuuzwa kama tiba ya hitilafu ya cheti.

Nyaraka za itifaki ya OpenVPN ni rejeleo la mgawanyiko kati ya udhibiti na data; itumie wakati kiolesura cha muuzaji kinatumia maneno mengine kwa kazi hizo mbili.