OpenVPN trwy ddirprwy HTTP: darllenwch ateb CONNECT yn gyntaf

Cyfeiriwch gleient VPN at ddirprwy HTTP corfforaethol, a’r ffaith ddefnyddiol gyntaf yw nad yw’r dirprwy yn siarad protocol y VPN. Mae’n agor cysylltiad TCP plaen i’r cyfeiriad a enwch ac yna’n camu o’r neilltu, gan adael i’ch cleient a’r gweinydd gynnal eu cyfnewid eu hunain drwy’r ffrwd honno. Rhaid i bopeth y mae’r cleient ei angen, o’r math cludo i wrandawr y gweinydd, gyd-fynd â’r trefniant hwnnw. Mae dau gamgymharu yn cyfrif am y rhan fwyaf o’r methiannau: proffil UDP wedi’i anelu at ddirprwy CONNECT, ac ateb dirprwy a gamgymerir am wall VPN.

Yr hyn y mae’r dirprwy yn ei gario, a’r hyn nad yw’n ei gario

Cam cludo yn unig yw’r dirprwy. Nid yw’n dod yn ddirprwy eich porwr, nid yw’n cacheio’r safleoedd a ymwelwch â nhw drwy’r twnnel, ac nid yw’n gweld y traffig mewnol oni bai bod rhywun wedi ffurfweddu archwiliad yn fwriadol. Mae’r twnnel a agorir ganddo yn anhryloyw iddo trwy ddyluniad.

Mae hynny hefyd yn golygu na all y dirprwy drwsio gweinydd heb wrandawr cyfatebol. Mae caniatâd i gyrraedd cyrchfan a gwasanaeth sy’n gwrando ar y gyrchfan honno yn ddau ffaith ar wahân, a’r cyntaf yn unig sy’n perthyn i weinyddwr y dirprwy.

Rhaid i’r cludydd fod yn TCP ar y ddau ben

Dim ond ffrwd beitiau y mae dirprwy CONNECT confensiynol yn ei throsglwyddo , felly rhaid i’r cleient ddefnyddio cludo ffrwd. Mae darn cleient ar gyfer y sefyllfa honno yn edrych fel hyn:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

Mae angen gwrandawr TCP go iawn ar ochr y gweinydd ar y porth a enwir yn y llinell remote. Mae newid proto udp yn proto tcp-client mewn proffil yn creu cleient sy’n disgwyl ffrwd; nid yw’n creu’r ffrwd ar yr ochr arall. Os yw’r un gweinydd hefyd yn ateb dros UDP ar y porth hwnnw, gwrandawr gwahanol yw hwnnw, nid ail fodd o’r un.

Lle bo achos TCP ar wahân, mae ei ddyfais twnnel, ei bwll cyfeiriadau a’i lwybr yn adnoddau eu hunain. Mae copïo ffurfweddiad sy’n gweithio a golygu’r gair cludo yn gadael yr adnoddau hynny’n pwyntio at yr achos gwreiddiol, sy’n cynhyrchu cysylltiad sy’n dilysu ac yna’n llwybro dim.

Darllenwch ateb y dirprwy cyn canlyniad y VPN

Cyfnewid cyntaf y cleient yw llinell gais sy’n enwi gwesteiwr a phorth y gyrchfan. Mae’r ateb i’r llinell honno yn dweud wrthych a oes ffrwd beitiau o gwbl, ac mae’n cyrraedd cyn i unrhyw dystysgrif neu gymhwysiad gael ei wirio:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

Mae ateb dosbarth 200 i CONNECT yn golygu bod y ffrwd yn bodoli. Nid yw’n dweud dim am a yw tystysgrif y porth yn cael ei hymddiried, a yw’r allwedd rannol yn cyd-fynd, neu a yw’r cyfrif defnyddiwr yn ddilys. Mae’r gwiriadau hynny’n digwydd wedyn, y tu mewn i’r ffrwd, ac maent yn methu â negeseuon y cleient ei hun yn hytrach na llinell statws HTTP. Darllenwch gofnod y cleient am y OpenVPN digwyddiad cyntaf ar ôl ysgwyd llaw’r dirprwy, nid am y llinell olaf cyn i’r ffenestr gau.

Mae cymwysiadau’r dirprwy a chymwysiadau’r VPN yn aml yn hunaniaethau gwahanol a gedwir gan dimau gwahanol. Nid yw 407 yn gyfrinair drwg ar gyfrif y VPN, ac nid yw tystysgrif a wrthodwyd yn broblem caniatâd dirprwy.

Yr hyn nad yw CONNECT yn ei ddatgelu

Nid yw twnnel CONNECT penodol yn ymyrraeth. Mae’r dirprwy’n anfon beitiau ymlaen ac nid yw’n terfynu sesiwn TLS y VPN, felly mae dilysu tystysgrif y gweinydd gan y cleient yn parhau’n ystyrlon ac yn dylu aros ymlaen. Mae diffodd dilysu i basio dirprwy yn datrys problem wahanol i’r un sydd gennych.

Mae trefniadau ar wahân lle mae sefydliad yn terfynu ac yn archwilio TLS yn fwriadol. Mae’r rheini angen eu ffurfweddiad ymddiriedaeth eu hunain a’u penderfyniad polisi eu hunain, ac nid ydynt yr hyn y mae llinell http-proxy gyffredin yn ei ofyn.

Cost TCP y tu mewn i TCP

Mae cario’r twnnel dros TCP yn cadw’r ffrwd allanol yn drefnus ac yn ail-drosglwyddo, ac mae’r traffig mewnol fel arfer yn TCP hefyd. Nid yw’r ddau fecanwaith adfer yn cydlynu, felly gall un segment a gollwyd atal popeth sy’n rhannu’r ffrwd allanol honno nes iddo gael ei ail-drosglwyddo. Cyfnewid go iawn am gydnawsedd yw hwn, nid uwchraddiad am ddim.

Defnyddiwch lwybr y dirprwy pan nad yw’r rhwydwaith yn gadael unrhyw ddewis arall, a ffafriwch lwybr UDP uniongyrchol lle mae polisi’n caniatáu. Naill ffordd neu’r llall, cadarnhewch fod yr un dirprwy, cyrchfan a phroffil yn cyrraedd y cam nesaf ar ôl newid; mae porwr sy’n llwytho tudalen yn y cyfeiriad hwnnw yn arfer protocol gwahanol ac yn profi dim am y twnnel.