VPN kontrol kanalı ve veri kanalı: doğru katmanı denetleyin

İstemci bağlı diyor, sunucu bir eş görüyor ve uygulama hâlâ hiçbir yere ulaşamıyor. Bu noktada yararlı soru hangi şifrenin değiştirileceği değil, hangi kanalın başarısız olduğudur. OpenVPN iki işlevi açıkça adlandırır: oturumu müzakere eden ve yöneten bir kontrol kanalı ile korunan trafiği taşıyan bir veri kanalı. IKEv2 benzer bir ayrımı IKE ilişkilendirmesi ve CHILD ilişkilendirmesi üzerinden ifade eder. Aşağıdaki denetimleri sırayla yapın, çünkü kontrol yolundaki bir arızaya uygulanan veri yolu düzeltmesi bir değişiklik penceresini boşa harcar.

Hata ayıklamadan önce kanalı adlandırın

Kontrol tarafı güvenlik malzemesi üzerinde pazarlık yapar, eşleri doğrular ve bağlantıyı yönetir. Veri tarafı, gereken durum oluştuğunda seçilen trafiği taşır.

Farklı biçimlerde başarısız olurlar. Kontrol arızası sizi genellikle kullanılabilir hiçbir oturum olmadan bırakır ya da döngü içinde yeniden pazarlık yapan bir oturumla bırakır. Veri arızası, sağlıklı görünen bir oturum bırakırken paketler düşürülür, yanlış yönlendirilir veya karşı tarafın kabul etmeyeceği parametrelerle korunur. Okuduğunuz günlük satırı hangi durumda olduğunuzu söyler, bu yüzden hata metninden önce etiketi okuyun.

Kontrol değişimini denetleyin

El sıkışmanın tamamlandığını ve iki tarafın taşıma, TLS sürümü ve kimlik doğrulama yöntemi üzerinde anlaştığını doğrulayın. OpenVPN günlükleri kontrol kanalı ve veri kanalı için ayrı satırlar basar ve sertifika, TLS sürümü veya tls-crypt uyumsuzluğu tam da kontrol satırında görünür.

Kontrol değişimi başarısız olursa erişilebilir bağlantı noktasına, sertifika zincirine ve geçerlilik tarihlerine, sistem saatine, istemci ile sunucu arasındaki şifre örtüşmesine ve varsa tls-auth veya tls-crypt anahtarına bakın. Büyük bir sertifika zinciri herhangi bir kimlik doğrulama tamamlanmadan yolun MTU değerinde de başarısız olabilir ki bu kriptografik bir hata değil, zaman aşımı gibi görünür.

Kontrol arızalarını kontrol ayarlarıyla giderin. Veri şifresini yükseltmek veya veri kimlik doğrulama ilkesini gevşetmek, sertifika değişimini hiç geçememiş bir el sıkışmayı tamamlamaz.

Veri kanalını ayrı denetleyin

Oturum ayakta olduğunda anlaşılan veri şifresini ve kipini, anahtar türetimini ve anahtar yenileme davranışını doğrulayın. OpenVPN'de veri kanalı satırı gerçekte başlatılan şifreyi ve anahtar boyutunu belirtir; bunlar profildeki ilk şifreden farklı olabilir.

Ardından oturumun ne kurduğunu denetleyin. Bir PUSH_REPLY rota, DNS sunucusu ve redirect-gateway yönergesi ekleyebilir ve bunlardan herhangi biri trafiği uygulamanın kullanamayacağı bir yere gönderebilir. IKEv2 için eşdeğer soru, CHILD ilişkilendirmesinin seçicilerinin gerçek akıştaki adreslerle eşleşip eşleşmediğidir.

tls-auth ve tls-crypt kontrol kanalına aittir. El sıkışmayı doğrular veya şifreler ve uygulamanın veri şifresini seçmezler. Veri yolunda bir değişiklik bekleyerek bunlardan birini eklerseniz değiştirdiğiniz tek şey el sıkışmadır.

Adları IKEv2 ve OpenVPN ile eşleştirin

IKEv2'de bir IKE güvenlik ilişkilendirmesi ve bir veya daha fazla CHILD ilişkilendirmesi vardır. IKE ilişkilendirmesi kontrol değişimlerini taşır; CHILD ilişkilendirmesi korunan trafiği ve seçicilerini taşır. Ayrı takvimlere göre pazarlık edilir ve anahtarları yenilenir, bu yüzden biri sağlıklıyken diğeri olmayabilir.

ESP'nin içinde TLS tarzı bir kontrol kanalı yoktur. Kontrol protokolü IKE'tir ve ESP korunan yüktür. ESP'yi veri kanalı olarak adlandırmak gevşek bir kısaltmadır ve paket yakalaması okurken kafa karıştırıcı olur, çünkü yakalama IKE mesajlarını ve ESP paketlerini hatta farklı protokoller olarak gösterir.

Eşleştirmeyi notlarınızda açık tutun: OpenVPN kontrol kanalı ve IKE SA yönetim tarafı, OpenVPN veri kanalı ve CHILD SA trafik tarafıdır ve bölünme benzer görünse bile uygulamalar birbirinin yerine geçmez.

Yanlış ayarı değiştirmeyi bırakın

Yolu tek yönde yürüyün: kontrol değişimi, veri koruması, yönlendirme ve ardından ad çözümlemesi. Başarısız olan ilk aşamada durun ve yalnızca o aşamayı düzeltin. Ağ geçidine ping çalışan ancak uygulama trafiği olmayan bağlı bir oturum, yönlendirme veya seçici sorunudur, el sıkışma sorunu değildir.

Her aşamanın kanıtını bilete ayrı ayrı yazın: kontrol günlük satırı, anlaşılan veri parametreleri, kurulan rotalar ve gerçek bir istek. Bu yapı, çalışan bir kimlik denetiminin zayıflatılıp hiç neden olmadığı sonraki bir yönlendirme sorununun düzeltilmesini önler ve veri şifresi değişikliğinin sertifika hatasının çözümü olarak satılmasını da önler.

OpenVPN protokol belgeleri kontrol ve veri ayrımı için referanstır; bir satıcının arayüzü aynı iki işlev için başka sözcükler kullandığında ona başvurun.