OpenVPN HTTP proksisi vasitəsilə: əvvəlcə CONNECT cavabını oxuyun

VPN müştərisini korporativ HTTP proksisinə yönəldin və ilk faydalı fakt budur ki, proksi VPN protokolunu danışmır. O, adını çəkdiyiniz ünvana adi TCP bağlantısı açır və sonra kənara çəkilir, müştərinizlə server öz mübadilələrini həmin axın üzərindən aparır. Müştərinin ehtiyac duyduğu hər şey, nəqliyyat növündən serverin dinləyicisinə qədər, bu quruluşa uyğun olmalıdır. Uğursuzluqların çoxu iki uyğunsuzluqdan qaynaqlanır: CONNECT proksisinə yönəldilmiş UDP profili və VPN xətası kimi qəbul edilən proksi cavabı.

Proksinin nə daşıdığı və nə daşımadığı

Proksi sadəcə nəqliyyat mərhələsidir. O, sizin brauzer proksisinə çevrilmir, tuneldən keçdiyiniz saytları keşləmir və kimsə qəsdən yoxlama qurmasa, daxili trafiki görmür. Açdığı tunel dizaynına görə onun üçün qeyri-şəffafdır.

Bu həm də o deməkdir ki, proksi uyğun dinləyicisi olmayan serveri düzəldə bilməz. Bir təyinat yerinə çıxış icazəsi ilə həmin təyinatda dinləyən xidmət ayrı-ayrı faktlardır və yalnız birincisi proksi inzibatçısına aiddir.

Daşıyıcı hər iki tərəfdə TCP olmalıdır

Adi CONNECT proksisi yalnız bayt axını ötürür , ona görə müştəri axın nəqliyyatından istifadə etməlidir. Bu hal üçün müştəri fraqmenti belə görünür:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

Server tərəfi remote sətrində göstərilən portda real TCP dinləyicisi tələb edir. Profildə proto udp sözünü proto tcp-client ilə əvəz etmək axın gözləyən müştəri yaradır; o, qarşı tərəfdə axını yaratmır. Əgər həmin server həmin portda UDP ilə də cavab verirsə, bu başqa dinləyicidir, eyni dinləyicinin ikinci rejimi deyil.

Ayrı TCP instansiyası olan yerlərdə onun tunel cihazı, ünvan hovuzu və marşrutlaşdırması öz resurslarıdır. İşləyən konfiqurasiyanı kopyalayıb nəqliyyat sözünü dəyişmək, bu resursları ilkin instansiyaya yönəldilmiş saxlayır və nəticədə autentifikasiyadan keçən, sonra heç nə marşrutlaşdırmayan bağlantı yaranır.

VPN nəticəsindən əvvəl proksi cavabını oxuyun

Müştərinin ilk mübadiləsi təyinat hostunu və portunu göstərən sorğu sətrindədir. Həmin sətrə verilən cavab sizə bayt axınının ümumiyyətlə mövcud olub-olmadığını deyir və hər hansı sertifikat və ya etimad yoxlanmazdan əvvəl gəlir:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

CONNECT sorğusuna 200 sinifli cavab axının mövcud olduğunu bildirir. O, şlüz sertifikatının etibarlı olub-olmadığını, ortaq açarın uyğun gəlib-gəlmədiyini və ya istifadəçi hesabının qüvvədə olduğunu demir. Bu yoxlamalar sonra, axının içində baş verir və HTTP status sətri ilə deyil, müştərinin öz mesajları ilə uğursuz olur. Müştəri jurnalında proksi əl sıxışmasından sonrakı ilk OpenVPN hadisəsini axtarın, pəncərə bağlanmazdan əvvəlki son sətri deyil.

Proksi etimadları ilə VPN etimadları çox vaxt müxtəlif komandaların saxladığı müxtəlif kimliklərdir. 407 VPN hesabında səhv parol deyil, rədd edilmiş sertifikat isə proksi icazə problemi deyil.

CONNECT nəyi açıqlamır

Açıq CONNECT tuneli müdaxilə deyil. Proksi baytları ötürür və VPN-in TLS sessiyasını sonlandırmır, ona görə müştərinin server sertifikatını yoxlaması məna kəsb edir və aktiv qalmalıdır. Proksidən keçmək üçün yoxlamanı söndürmək sizin probleminizdən fərqli bir problemi həll edir.

Təşkilatın TLS-i qəsdən sonlandırdığı və yoxladığı ayrı quruluşlar mövcuddur. Onlar öz etimad konfiqurasiyasını və öz siyasət qərarını tələb edir və adi http-proxy sətrinin istədiyi şey deyil.

TCP-nin TCP içində qiyməti

Tuneli TCP üzərindən daşımaq xarici axını nizamlı və yenidən ötürülən saxlayır, daxili trafik də adətən TCP olur. Bu iki bərpa mexanizmi əlaqələndirilmir, ona görə bir itirilmiş seqment həmin xarici axını paylaşan hər şeyi yenidən ötürülənə qədər dayandıra bilər. Bu, uyğunluq üçün real güzəştdir, pulsuz təkmilləşdirmə deyil.

Şəbəkə sizə başqa yol qoymadıqda proksi yolundan istifadə edin və siyasət icazə verdiyi yerdə birbaşa UDP yoluna üstünlük verin. Hər halda dəyişiklikdən sonra eyni proksinin, təyinatın və profilin növbəti mərhələyə çatdığını təsdiqləyin; həmin ünvanda səhifə yükləyən brauzer başqa protokol işlədir və tunel barədə heç nə sübut etmir.