Per què una línia scramble en un perfil .ovpn necessita un client pedaçat

Un perfil amb una línia scramble s’importa al client oficial i després falla a l’apretada de mà, o s’importa amb la línia descartada en silenci i es connecta a res. La directiva pertany a una compilació pedaçada d’OpenVPN en lloc del conjunt de funcions original, així que un client que no porta aquest pedaç no pot parlar el protocol resultant. Afegir la línia a un perfil normal no afegeix la implementació. La compatibilitat ha d’existir als dos extrems abans que el fitxer signifiqui res.

Tracteu-ho primer com una qüestió de protocol i després com una qüestió de botiga d’aplicacions.

L’opció és un format de cable, no una preferència

El pedaç scramble canvia com es veuen els paquets del túnel al cable, normalment fent XOR de la càrrega amb un valor compartit. Això canvia els bytes que tots dos iguals han de produir i acceptar, cosa que el converteix en un acord de format i no en un paràmetre local. Si un costat aplica la transformació i l’altre no, resulta una sessió que s’autentica i després no porta res d’utilitzable. El paràmetre només té sentit quan tots dos extrems executen el mateix comportament pedaçat.

Dos productes poden anunciar tots dos obfuscació i tot i així implementar transformacions incompatibles. El nom en un menú no és una especificació; la compilació real de l’operador sí.

Importar el fitxer no és compatibilitat

Els clients difereixen en què fan amb una directiva desconeguda. Alguns rebutgen el perfil de ple, alguns avisen i continuen, i alguns descarten la línia i es connecten amb una apretada de mà simple. L’últim cas és el perillós, perquè el túnel es pot establir contra un servidor que accepta tots dos i després fallar només en el trànsit. Per tant, una importació correcta demostra que l’analitzador va tolerar la línia, no que la connexió funcionarà.

Proveu amb el client i la compilació que el desplegament realment requereix, contra el servidor que l’operador realment executa.

L’APK és una decisió de cadena de subministrament

Una compilació d’Android pedaçada existeix perquè algú la va compilar, i la seva existència no diu res sobre qui la manté ara. Abans d’aprovar-ne una, el propietari del desplegament hauria de revisar la revisió d’origen d’on prové, com es va aplicar el pedaç, la identitat de signatura i el camí d’actualització. Una aplicació VPN gestiona credencials i tot el trànsit cobert, així que una pàgina de descàrrega no relacionada no és una autoritat de distribució acceptable.

Demaneu a l’operador del servei la combinació de client admesa i el seu canal d’instal·lació actual. Si aquest canal ja no existeix, el desplegament té un problema de manteniment que un binari antic no resol.

L’obfuscació no és xifratge ni sigil

Canviar el format visible dels paquets no substitueix el xifratge i no garanteix que una xarxa no pugui classificar la connexió. El temps, la reputació de l’extrem i el trànsit del voltant encara porten informació. Manteniu les comprovacions d’identitat del servidor en què es basa el perfil, com ara la verificació del certificat contra el nom esperat, fins i tot quan l’objectiu de la capa extra és canviar l’aparença.

No substituïu tls-crypt ni un paràmetre de servidor intermediari pel pedaç i no ho anomeneu equivalent. Cadascun canvia una part diferent de la connexió.

Demaneu una parella mantinguda

El resultat que val la pena és dos extrems mantinguts i explícitament compatibles, amb un camí d’actualització documentat a cada costat. Si aquesta parella no existeix, avalueu un transport de servidor admès o un disseny d’accés diferent en lloc de mantenir viva una aplicació antiga privilegiada. Aquesta decisió pertany al propietari del servei, no a qui va trobar l’APK.

Una casella scramble que funciona al client és una observació local de capacitat. No diu res sobre el servidor fins que una sessió real porta trànsit.