Các bước bắt tay VPN: điều gì xảy ra trước khi lưu lượng chạy

Nhấn Kết nối khởi động bốn công việc riêng biệt thành công hoặc thất bại độc lập. Máy khách phải đến được bộ lắng nghe, thống nhất ai là đối tác, dẫn xuất khóa và sau đó bàn giao một đường hầm hoạt động cho phần còn lại của hệ thống. Phần lớn kết nối thất bại bị chẩn đoán ở công việc sai. Vì vậy lỗi đầu tiên quan trọng hơn lần thử thứ ba.

Trước hết hãy đến được bộ lắng nghe

Trước khi trao đổi bất kỳ danh tính nào, máy khách phân giải một tên, chọn tuyến và mở phương tiện vận chuyển đến một cổng. Cổng bắt giữ trả lời mọi thứ, cổng đóng và tên máy chủ sai đều thất bại ở đây, và không cái nào là vấn đề xác thực. Đổi mật khẩu không thể sửa được cái nào trong ba. Hãy đọc dòng đầu tiên của lỗi trước khi chạm vào thông tin đăng nhập.

Hết thời gian chờ, chứng chỉ bị từ chối và tài khoản bị từ chối là ba lỗi khác nhau với ba kiểm tra khác nhau. Phân loại chúng trước là điều ngăn một vấn đề mạng bị gỡ lỗi như vấn đề thông tin đăng nhập.

Chứng minh đối tác, rồi dẫn xuất khóa

Mỗi giao thức cần một cách nhận ra máy chủ dự định, dù qua khóa công khai đã cấu hình hay chuỗi chứng chỉ. Đăng nhập người dùng là phần bổ sung cho kiểm tra đó, không phải thứ thay thế nó. Một máy chủ chấp nhận mật khẩu của bạn không chứng minh được gì về danh tính của chính nó. Vì vậy một bí mật chia sẻ được nhập vào máy khách không thay thế việc xác minh ai đã trả lời.

Sau đó trao đổi dẫn xuất khóa lưu lượng từ chính các đầu vào của giao thức, và mật khẩu đăng nhập thường không phải khóa được đóng lên mỗi gói. Vật liệu danh tính dài hạn và khóa phiên ngắn hạn có vòng đời và nhiệm vụ khác nhau. Chính sự tách biệt đó là điều mà bí mật chuyển tiếp nói tới.

Giữ bật xác minh trong khi khắc phục sự cố, vì một đường hầm kết nối sau khi bạn tắt một kiểm tra không chứng minh được gì ngoài việc kiểm tra đó đang làm gì đó. Ghi lại những gì bạn đã thay đổi, và khôi phục trước lần thử tiếp theo.

Ba giao thức, ba cuộc trò chuyện

Trong một triển khai OpenVPN dựa trên TLS, kênh điều khiển thương lượng các tham số bảo mật trong khi kênh dữ liệu mang lưu lượng đường hầm, nên một tùy chọn kênh dữ liệu và một vấn đề chứng chỉ sống ở những nơi khác nhau. IKEv2 xác thực cả hai bên rồi thiết lập các hiệp hội bảo mật IPsec với vòng đời riêng. WireGuard dẫn xuất khóa qua trao đổi dựa trên Noise và cố ý giữ máy trạng thái nhỏ. Biết mình chạy cái nào trong ba quyết định nhật ký nào đáng đọc.

Các máy khách trông giống nhau không có nghĩa là thông điệp bên dưới có thể hoán đổi, và một trường cấu hình có trong sản phẩm này có thể không có tương đương ở sản phẩm khác. Sao chép hồ sơ giữa chúng là phỏng đoán chứ không phải di trú.

Điều bắt tay không làm

Tuyến, phân giải tên và chính sách đích đều còn lại sau đó. Một trang nội bộ có thể vẫn không truy cập được vì thiếu tuyến mạng con của nó, dù đối tác đã được xác thực đúng và đường hầm đang hoạt động. Coi đó là mã hóa yếu sẽ khiến bạn tìm ở tầng sai, và thường kết thúc bằng một thay đổi mật mã không sửa được gì.

Làm mới khóa và kết nối lại cũng trông giống nhau trong hầu hết màn hình trạng thái, và cả hai đều không cho biết lưu lượng thông thường có bị chặn trong thời gian gián đoạn hay không. Chỉ chính sách thất bại của máy khách trả lời câu hỏi đó, nên hãy đọc chính sách chứ không phải biểu tượng.

Làm các giai đoạn theo thứ tự trên và dừng ở giai đoạn đầu tiên tạo ra lỗi. Mỗi giai đoạn sau kế thừa trạng thái của các giai đoạn trước, nên một lỗi ở giai đoạn thứ ba không nói gì về giai đoạn thứ tư.

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal