ขั้นตอนแฮนด์เชกของ VPN: เกิดอะไรขึ้นก่อนที่ทราฟฟิกจะไหล

การกดเชื่อมต่อเริ่มงานสี่อย่างแยกกันซึ่งสำเร็จหรือล้มเหลวได้อย่างอิสระ ไคลเอนต์ต้องเข้าถึงผู้รับฟัง ตกลงว่าคู่ปลายทางคือใคร สร้างคีย์ แล้วจึงส่งอุโมงค์ที่ใช้งานได้ให้ส่วนที่เหลือของระบบ การเชื่อมต่อที่ล้มเหลวส่วนใหญ่ถูกวินิจฉัยผิดงาน นั่นคือเหตุผลที่ข้อผิดพลาดแรกสำคัญกว่าการลองครั้งที่สาม

ไปถึงผู้รับฟังก่อน

ก่อนที่จะมีการแลกเปลี่ยนตัวตนใด ๆ ไคลเอนต์จะแปลงชื่อ เลือกเส้นทาง และเปิดการขนส่งไปยังพอร์ต พอร์ทัลกักขังที่ตอบทุกอย่าง พอร์ตที่ปิด และชื่อโฮสต์ที่ผิด ล้วนล้มเหลวตรงนี้ และไม่มีข้อใดเป็นปัญหาการพิสูจน์ตัวตน การเปลี่ยนรหัสผ่านแก้ไขทั้งสามข้อไม่ได้ อ่านบรรทัดแรกของข้อผิดพลาดก่อนที่จะแตะข้อมูลรับรอง

การหมดเวลา การปฏิเสธใบรับรอง และบัญชีที่ถูกปฏิเสธเป็นความผิดพลาดสามแบบที่ต้องตรวจสอบต่างกัน การแยกแยะสิ่งเหล่านี้ก่อนคือสิ่งที่ป้องกันไม่ให้ปัญหาของเครือข่ายถูกแก้ในฐานะปัญหาข้อมูลรับรอง

พิสูจน์คู่ปลายทาง แล้วจึงสร้างคีย์

ทุกโปรโตคอลต้องมีวิธีรู้จักเซิร์ฟเวอร์ที่ตั้งใจไว้ ไม่ว่าจะผ่านคีย์สาธารณะที่กำหนดค่าไว้หรือห่วงโซ่ใบรับรอง การเข้าสู่ระบบของผู้ใช้เป็นส่วนเพิ่มเติมของการตรวจสอบนั้น ไม่ใช่สิ่งทดแทน การที่เซิร์ฟเวอร์ยอมรับรหัสผ่านของคุณไม่ได้พิสูจน์อะไรเกี่ยวกับตัวตนของมันเอง นั่นคือเหตุผลที่ความลับร่วมที่พิมพ์ลงในไคลเอนต์ไม่ใช่สิ่งทดแทนการตรวจสอบว่าใครเป็นผู้ตอบ

จากนั้นการแลกเปลี่ยนจะสร้างคีย์ทราฟฟิกจากอินพุตของโปรโตคอลเอง และรหัสผ่านเข้าสู่ระบบโดยทั่วไปไม่ใช่คีย์ที่ประทับบนทุกแพ็กเก็ต วัสดุระบุตัวตนระยะยาวและคีย์เซสชันอายุสั้นมีอายุการใช้งานและหน้าที่ต่างกัน ความลับไปข้างหน้าคือการแยกส่วนนี้

เปิดการตรวจสอบไว้ขณะแก้ปัญหา เพราะอุโมงค์ที่เชื่อมต่อได้หลังคุณปิดการตรวจสอบไม่ได้พิสูจน์อะไรเลยนอกจากว่าการตรวจสอบนั้นกำลังทำอะไรบางอย่าง จดบันทึกสิ่งที่คุณเปลี่ยน แล้วคืนค่าก่อนการทดสอบครั้งถัดไป

สามโปรโตคอล สามบทสนทนา

ในการติดตั้ง OpenVPN บนพื้นฐาน TLS ช่องควบคุมต่อรองพารามิเตอร์ความปลอดภัย ขณะที่ช่องข้อมูลบรรทุกทราฟฟิกของอุโมงค์ ดังนั้นตัวเลือกของช่องข้อมูลและปัญหาใบรับรองจึงอยู่คนละที่ IKEv2 พิสูจน์ตัวตนผู้เข้าร่วมทั้งสองฝ่ายแล้วจึงสร้างสมาคมความปลอดภัย IPsec ที่มีอายุของตัวเอง WireGuard สร้างคีย์ผ่านการแลกเปลี่ยนบนพื้นฐาน Noise และตั้งใจรักษาเครื่องสถานะให้เล็ก การรู้ว่าคุณใช้ตัวไหนในสามตัวเป็นการตัดสินว่าบันทึกใดควรอ่าน

ไคลเอนต์ที่ดูคล้ายกันไม่ได้หมายความว่าข้อความข้างใต้แลกเปลี่ยนกันได้ และฟิลด์การกำหนดค่าที่มีในผลิตภัณฑ์หนึ่งอาจไม่มีสิ่งที่เทียบเท่าในอีกผลิตภัณฑ์ การคัดลอกโปรไฟล์ระหว่างกันเป็นการเดา ไม่ใช่การย้ายข้อมูล

สิ่งที่แฮนด์เชกไม่ได้ทำ

เส้นทาง การแปลงชื่อ และนโยบายปลายทางยังคงอยู่ทั้งหมดหลังจากนั้น ไซต์ภายในอาจยังเข้าถึงไม่ได้เพราะไม่มีเส้นทางของซับเน็ต แม้คู่ปลายทางจะได้รับการพิสูจน์ตัวตนอย่างถูกต้องและอุโมงค์ทำงานอยู่ การมองว่านั่นเป็นการเข้ารหัสที่อ่อนแอจะทำให้คุณไปค้นในชั้นที่ผิด และมักจบลงด้วยการเปลี่ยนรหัสลับที่ไม่แก้อะไรเลย

การรีเฟรชคีย์และการเชื่อมต่อใหม่ก็ดูคล้ายกันในหน้าสถานะส่วนใหญ่ และทั้งสองไม่ได้บอกว่าทราฟฟิกปกติถูกบล็อกระหว่างที่ระบบหยุดหรือไม่ มีเพียงนโยบายความล้มเหลวของไคลเอนต์เท่านั้นที่ตอบคำถามนั้น ดังนั้นจงอ่านนโยบายไม่ใช่ไอคอน

ทำตามขั้นตอนตามลำดับข้างต้นและหยุดที่ขั้นแรกที่ให้ข้อผิดพลาด แต่ละขั้นถัดไปสืบทอดสถานะของขั้นก่อนหน้า ดังนั้นความล้มเหลวในขั้นที่สามไม่ได้บอกอะไรเกี่ยวกับขั้นที่สี่

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal