Gdje TLS sjedi unutar OpenVPN-a i šta mijenja oblik

OpenVPN zaista koristi TLS, a ljudi to rutinski šire na tvrdnju koju ne može nositi: da tunel zato izgleda kao preglednik koji posjećuje stranicu. Prvi dio je tačan. Drugi nije. TLS ovdje pripada kontrolnom kanalu koji putuje unutar OpenVPN-ovog vlastitog kontejnera, uz kanal korisnog tereta s posve drugačijom kriptografijom, pa ko pregleda početne bajtove vidi OpenVPN.

Dvije konverzacije u jednoj koverti

Zamislite sesiju kao dvije konverzacije koje dijele jednu kovertu. Jedna provjerava certifikate i izvodi ključni materijal. Druga šifrira ono što zapravo šaljete, koristeći ono što je prva proizvela.

Koverta je protokol. Svaki paket počinje malim zaglavljem koje imenuje njegov tip, a to zaglavlje dolazi prije svega ostalog.

Šta zapravo dolazi prvo

Zbog tog redoslijeda prva stvar na žici nije TLS zapis. To je OpenVPN-ovo zaglavlje, a zatim sadržaj onog kanala koji zaglavlje najavi. ClientHello postoji unutra, samo ne na nultom bajtu. Za primjećivanje razlike nije potrebno dešifriranje, jer sam oblik to odaje.

Zadane vrijednosti su i ovdje važne. Tok je UDP na 1194 osim ako profil odabere TCP. U oba slučaja vanjski izgled je tunel, a ne web zahtjev.

Tri poštena načina da promijenite oblik

TLS terminator kao stunnel prihvata TLS na portu na svakom kraju i predaje dešifrirani tok OpenVPN-u lokalno, pa mreža vidi TLS prema tom portu. Protokol koji je TLS od prvog bajta ponaša se drugačije: razmjena kompatibilna s AnyConnect, koju ocserv implementira, liči na korporativni udaljeni pristup koji mnoge mreže već očekuju. SSTP, koji dolazi s Windowsom, ima isto svojstvo u drugom proizvodu.

Na Linuxu SSH-ova opcija -w nosi tačku-na-tačku vezu unutar SSH sesije, što je korisno kad je SSH jedini dopušteni protokol. Najjeftinija je od četiri ako SSH već radi s te mreže, a najmanje korisna ako ne radi.

Šta nijedna od njih ne mijenja

Nijedna od ovih ne mijenja do čega tunel može doći. One ne čine blokiranu adresu dostupnom, ne autentificiraju nikoga i ne odlučuju o rutama.

Omotač vas također košta jednu komponentu. Dva slušača i dvije konfiguracijske datoteke znače dva mjesta za kvar, a oba izgledaju identično s korisničke strane. Predvidite to prije nego što ga usvojite. Sesija ostaje jedan dugotrajan šifrirani tok prema jednom odredištu, a njen obim i vrijeme ostaju vidljivi.

Prvo dijagnosticirajte, zatim birajte

Zato prvo dijagnosticirajte. Odbijeni UDP rješava TCP režim, a prepoznati potpis drugi protokol ili omotač. Biranje alata prije nego što znate blokadu je način na koji ljudi završe održavajući tri sloja koji svi padaju iz istog razloga.

Mreža koja dopušta samo web portove sužava izbor na protokol zasnovan na TLS-u na 443. Primjena sva tri odjednom daje stog koji niko ne može otkloniti, pa promijenite jednu stvar i ponovo testirajte isti tok.

Ako nijedna ne vrijedi, tačan odgovor je da ta mreža neće nositi tunel za vas. To je nalaz, a ne neuspjeh truda. Vrtnja kroz više opcija ne poništava političku odluku donesenu iznad.

Jedna granica stoji pred svim tim. Dopuštenje za pokretanje tunela na tuđoj mreži je političko pitanje, odlučeno odvojeno od toga da li mehanizam funkcionira. Ove činjenice objašnjavaju šta posmatrač vidi i ne daju dopuštenje.