VPN el sıkışma adımları: trafik akmadan önce neler olur

Bağlan düğmesine basmak bağımsız olarak başarılı ya da başarısız olan dört ayrı iş başlatır. İstemci bir dinleyiciye ulaşmalı, karşı tarafın kim olduğu konusunda anlaşmalı, anahtarları türetmeli ve ardından çalışan bir tüneli sistemin geri kalanına teslim etmelidir. Başarısız bağlantıların çoğu yanlış işte teşhis edilir. Bu yüzden ilk hata üçüncü denemeden daha önemlidir.

Önce dinleyiciye ulaşın

Herhangi bir kimlik değiş tokuş edilmeden önce istemci bir adı çözer, bir yol seçer ve bir bağlantı noktasına taşıma açar. Her şeye yanıt veren bir yakalama portalı, kapalı bir bağlantı noktası ve yanlış bir ana makine adı burada başarısız olur ve bunların hiçbiri kimlik doğrulama sorunu değildir. Parola değiştirmek üçünden hiçbirini düzeltemez. Kimlik bilgilerine dokunmadan önce hatanın ilk satırını okuyun.

Zaman aşımı, sertifika reddi ve reddedilen hesap, üç farklı denetim gerektiren üç farklı arızadır. Bunları önce ayırmak, bir ağ sorununun kimlik bilgisi sorunu olarak ayıklanmasını önleyen şeydir.

Karşı tarafı kanıtlayın, sonra anahtarları türetin

Her protokolün amaçlanan sunucuyu tanıması için bir yola ihtiyacı vardır: yapılandırılmış bir ortak anahtar ya da bir sertifika zinciri. Kullanıcı oturumu bu denetime eklenir, onun yerine geçmez. Parolanızı kabul eden bir sunucu kendi kimliği hakkında hiçbir şey kanıtlamamıştır. Bu yüzden istemciye yazılan ortak bir sır, kimin yanıt verdiğini doğrulamanın yerini tutmaz.

Ardından değiş tokuş, trafik anahtarlarını protokolün kendi girdilerinden türetir ve oturum açma parolası genellikle her pakete basılan anahtar değildir. Uzun vadeli kimlik malzemesi ile kısa ömürlü oturum anahtarlarının ömürleri ve görevleri farklıdır. İleriye dönük gizlilik tam da bu ayrılıkla ilgilidir.

Sorun giderirken doğrulamayı açık tutun, çünkü bir denetimi kapattıktan sonra bağlanan bir tünel, o denetimin bir şey yaptığını göstermekten başka bir şey kanıtlamamıştır. Neyi değiştirdiğinizi not edin ve bir sonraki testten önce geri alın.

Üç protokol, üç konuşma

TLS tabanlı bir OpenVPN kurulumunda denetim kanalı güvenlik parametrelerini görüşürken veri kanalı tünel trafiğini taşır, bu yüzden bir veri kanalı seçeneği ile bir sertifika sorunu farklı yerlerde yaşar. IKEv2 iki tarafı da kimlik doğrulamadan geçirir ve ardından kendi ömürleri olan IPsec güvenlik ilişkileri kurar. WireGuard anahtarları Noise tabanlı değiş tokuşuyla türetir ve durum makinesini bilinçli olarak küçük tutar. Üçünden hangisini çalıştırdığınızı bilmek hangi günlüğün okunmaya değer olduğunu belirler.

Benzer görünen istemciler alttaki mesajların birbirinin yerine geçebildiği anlamına gelmez ve bir üründe bulunan bir yapılandırma alanının diğerinde karşılığı olmayabilir. Aralarında profil kopyalamak geçiş değil tahmindir.

El sıkışmanın yapmadığı şey

Yollar, ad çözümlemesi ve hedef ilkesi hepsi sonrasında kalır. Karşı taraf doğru şekilde kimlik doğrulamasından geçmiş ve tünel çalışıyor olsa bile, alt ağının yolu eksik olduğu için bir iç site erişilemez kalabilir. Bunu zayıf şifreleme olarak görmek sizi yanlış katmanda aramaya gönderir ve genellikle hiçbir şeyi düzeltmeyen bir şifreleme değişikliğiyle biter.

Anahtar yenileme ve yeniden bağlanma da çoğu durum ekranında benzer görünür ve ikisi de kesinti sırasında normal trafiğin engellenip engellenmediğini söylemez. Bu soruyu yalnızca istemcinin hata ilkesi yanıtlar, bu yüzden simgeyi değil ilkeyi okuyun.

Aşamaları yukarıdaki sırayla işleyin ve ilk hata üreten aşamada durun. Sonraki her aşama öncekilerin durumunu devralır, bu yüzden üçüncü aşamadaki bir başarısızlık dördüncü hakkında hiçbir şey söylemez.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal