TLS OpenVPN daxilində harada yerləşir və formanı nə dəyişir

OpenVPN həqiqətən TLS istifadə edir və insanlar bunu daşıya bilmədiyi bir iddiaya qədər genişləndirirlər: guya tunel buna görə sayta baş çəkən brauzerə bənzəyir. Birinci hissə doğrudur. İkincisi deyil. Buradakı TLS OpenVPN-in öz konteyneri daxilində gedən nəzarət kanalına aiddir; onun yanında tamamilə fərqli kriptoqrafiyaya malik faydalı yük kanalı var, ona görə açılış baytlarına baxan hər kəs OpenVPN görür.

Bir zərfdə iki söhbət

Sessiyanı bir zərfi paylaşan iki söhbət kimi düşünün. Biri sertifikatları yoxlayır və açar materialı çıxarır. Digəri isə həqiqətən göndərdiyinizi birincinin hasil etdiyi ilə şifrələyir.

Zərf protokoldur. Hər paket öz tipini bildirən kiçik başlıqla başlayır və həmin başlıq hər şeydən əvvəl gəlir.

Həqiqətən ilk gələn nədir

Bu sıralama üzündən naqildə ilk görünən şey TLS qeydi deyil. Bu, OpenVPN-in başlığıdır və ondan sonra başlığın elan etdiyi kanalın məzmunu gəlir. Orada ClientHello var, sadəcə sıfırıncı baytda deyil. Fərqi görmək üçün heç bir şifrə açma lazım deyil, çünki forma özü onu verir.

Susmaya görə dəyərlər burada da önəmlidir. Axın, profil TCP seçmirsə, 1194 portuna UDP ilə gedir. Hər iki halda xarici görünüş veb sorğu deyil, tuneldir.

Formanı dəyişməyin üç dürüst yolu

stunnel kimi TLS termininatoru hər iki uçda bir portda TLS qəbul edir və şifrəsi açılmış axını yerli olaraq OpenVPN-ə verir, beləliklə şəbəkə həmin porta TLS görür. İlk baytdan TLS olan protokol isə başqa cür davranır: ocserv-in tətbiq etdiyi AnyConnect-uyğun mübadilə bir çox şəbəkənin artıq gözlədiyi korporativ uzaq girişə bənzəyir. Windows ilə gələn SSTP fərqli məhsulda eyni xüsusiyyətə malikdir.

Linux-da SSH-in -w seçimi SSH sessiyası daxilində nöqtədən nöqtəyə keçid daşıyır; bu, SSH yeganə icazəli protokol olduqda faydalıdır. Əgər SSH həmin şəbəkədən artıq işləyirsə, dördünün ən ucuzudur, işləmirsə ən az faydalısı.

Onların heç birinin dəyişmədiyi şey

Bunların heç biri tunelin nəyə çata bildiyini dəyişmir. Onlar bloklanmış ünvanı çatan etmir, heç kimi autentifikasiya etmir və marşrutları müəyyən etmir.

Sarğı həm də sizə bir komponent baha başa gəlir. İki dinləyici və iki konfiqurasiya faylı iki uğursuzluq yeri deməkdir və hər ikisi istifadəçinin yerindən eyni görünür. Birini qəbul etməzdən əvvəl bunu büdcədə nəzərə alın. Sessiya bir təyinat nöqtəsinə tək uzunmüddətli şifrəli axın olaraq qalır və onun həcmi və vaxtı görünən qalır.

Əvvəlcə diaqnoz qoyun, sonra seçin

Yəni əvvəlcə diaqnoz qoyun. Atılan UDP-yə TCP rejimi cavab verir, tanınan imzaya isə fərqli protokol və ya sarğı cavab verir. Bloku bilməzdən əvvəl alət seçmək insanların sonunda hamısı eyni səbəbdən uğursuz olan üç qatı saxlamasına gətirib çıxarır.

Yalnız veb portlarına icazə verən şəbəkə seçimi 443 portunda TLS əsaslı protokolla daraldır. Üçünü birdən tətbiq etmək heç kimin sazlamadığı bir yığın yaradır, ona görə bir şeyi dəyişin və eyni axını yenidən yoxlayın.

Əgər bunların heç biri tətbiq olunmursa, dəqiq cavab budur ki, bu şəbəkə sizin üçün tunel daşımayacaq. Bu, səyin uğursuzluğu deyil, bir tapıntıdır. Daha çox variantdan keçmək yuxarıda verilmiş siyasət qərarını geri çevirmir.

Bütün bunların qarşısında bir sərhəd durur. Başqasının şəbəkəsində tunel işlətmək icazəsi siyasət məsələsidir və mexanizmin işləyib-işləməməsindən ayrı qərar verilir. Bu faktlar müşahidəçinin nə gördüyünü izah edir və icazə vermir.