Mga hakbang ng VPN handshake: ano ang nangyayari bago dumaloy ang trapiko

Ang pagpindot ng Kumonekta ay nagpapasimula ng apat na hiwalay na gawain na nagtatagumpay o nabibigo nang mag-isa. Kailangang maabot ng kliyente ang isang tagapakinig, magkasundo kung sino ang kapares, kumuha ng mga susi, at pagkatapos ay ibigay ang gumaganang lagusan sa natitirang bahagi ng sistema. Karamihan sa mga nabigong koneksyon ay nasuri sa maling gawain. Kaya mas mahalaga ang unang error kaysa sa ikatlong pagtatangka.

Unahing maabot ang tagapakinig

Bago magpalitan ng anumang pagkakakilanlan, nilulutas ng kliyente ang isang pangalan, pumipili ng ruta at nagbubukas ng transportasyon patungo sa isang port. Ang captive portal na sumasagot sa lahat, saradong port at maling hostname ay lahat nabibigo rito, at wala sa mga ito ang problema sa pagpapatotoo. Ang pagpapalit ng password ay hindi makapag-aayos ng alinman sa tatlo. Basahin ang unang linya ng error bago hawakan ang mga kredensyal.

Ang pag-timeout, pagtanggi ng sertipiko at tinanggihang account ay tatlong magkakaibang depekto na may tatlong magkakaibang pagsusuri. Ang paghihiwalay sa kanila muna ang pumipigil sa problema sa network na ma-debug bilang problema sa kredensyal.

Patunayan ang kapares, pagkatapos ay kumuha ng mga susi

Bawat protocol ay nangangailangan ng paraan upang makilala ang nilalayong server, sa pamamagitan ng naka-configure na pampublikong susi o ng kadena ng sertipiko. Ang pag-login ng gumagamit ay karagdagan sa pagsusuring iyon, hindi kapalit nito. Ang server na tumatanggap ng iyong password ay walang pinatunayan tungkol sa sarili nitong pagkakakilanlan. Kaya ang pinagsasaluhang lihim na itinipa sa kliyente ay hindi kapalit ng pagpapatunay kung sino ang sumagot.

Pagkatapos ay kumukuha ang pagpapalitan ng mga susi ng trapiko mula sa sariling input ng protocol, at ang password sa pag-login ay karaniwang hindi ang susi na itinatak sa bawat packet. Ang pangmatagalang materyal ng pagkakakilanlan at ang panandaliang sesyon na mga susi ay may magkaibang habang-buhay at magkaibang tungkulin. Tungkol sa paghihiwalay na iyon ang forward secrecy.

Panatilihing naka-on ang pagpapatunay habang nag-troubleshoot, dahil ang lagusan na kumokonekta pagkatapos mong patayin ang isang pagsusuri ay walang pinatunayang iba kundi na may ginagawa ang pagsusuring iyon. Itala ang binago mo, at ibalik ito bago ang susunod na pagsubok.

Tatlong protocol, tatlong usapan

Sa isang deployment ng OpenVPN na nakabatay sa TLS, ang control channel ay nakikipag-usap sa mga parameter ng seguridad habang ang data channel ay nagdadala ng trapiko ng lagusan, kaya ang opsyon ng data channel at problema sa sertipiko ay naninirahan sa magkaibang lugar. Ang IKEv2 ay nagpapatotoo sa dalawang kalahok at pagkatapos ay nagtatatag ng IPsec security associations na may sariling habang-buhay. Ang WireGuard ay kumukuha ng mga susi sa pamamagitan ng pagpapalitang nakabatay sa Noise at sadyang maliit ang state machine. Ang pag-alam kung alin sa tatlo ang pinapatakbo mo ang nagtatakda kung aling log ang sulit basahin.

Ang magkamukhang kliyente ay hindi nangangahulugang mapagpapalitan ang mga mensahe sa ilalim, at ang field ng configuration na umiiral sa isang produkto ay maaaring walang katumbas sa iba. Ang pagkopya ng profile sa pagitan nila ay haka-haka at hindi migrasyon.

Ano ang hindi ginagawa ng handshake

Ang mga ruta, resolusyon ng pangalan at patakaran sa patutunguhan ay nananatili pagkatapos. Ang isang panloob na site ay maaaring manatiling hindi maabot dahil nawawala ang ruta ng subnet nito, kahit na ang kapares ay napatotohanan nang tama at ang lagusan ay nakaupo. Ang ituring iyon na mahinang encryption ay magpapadala sa iyo upang maghanap sa maling layer, at karaniwang nagtatapos ito sa pagbabago ng cipher na walang inaayos.

Ang pag-refresh ng susi at muling pagkonekta ay magkamukha rin sa karamihan ng mga display ng status, at wala sa dalawa ang nagsasabi kung ang ordinaryong trapiko ay hinarang habang may outage. Tanging ang patakaran ng pagkabigo ng kliyente ang sumasagot sa tanong na iyon, kaya basahin ang patakaran at hindi ang icon.

Isagawa ang mga yugto sa pagkakasunod-sunod sa itaas at huminto sa unang naglalabas ng error. Ang bawat susunod na yugto ay nagmamana ng kalagayan ng mga nauna, kaya ang kabiguan sa ikatlong yugto ay walang sinasabi tungkol sa ikaapat.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal