Ble mae TLS yn eistedd y tu mewn i OpenVPN, a beth sy’n newid y siâp

OpenVPN yn wir yn defnyddio TLS, ac mae pobl yn rheolaidd yn ymestyn hynny i honiad na all ei gario: bod twnnel felly yn edrych fel porwr yn ymweld â safle. Mae’r rhan gyntaf yn wir. Nid yw’r ail. Mae TLS yma yn perthyn i sianel reoli sy’n teithio y tu mewn i gynhwysydd OpenVPN ei hun, ochr yn ochr â sianel llwyth â chryptograffeg hollol wahanol, felly pwy bynnag sy’n archwilio’r beitiau agoriadol sy’n gweld OpenVPN.

Dwy sgwrs mewn un amlen

Meddyliwch am sesiwn fel dwy sgwrs yn rhannu un amlen. Mae un yn dilysu tystysgrifau ac yn deillio deunydd allwedd. Mae’r llall yn amgryptio’r hyn yr ydych yn ei anfon mewn gwirionedd, gan ddefnyddio’r hyn a gynhyrchodd y gyntaf.

Yr amlen yw’r protocol. Mae pob pecyn yn dechrau â phennawd bach sy’n enwi ei fath, ac mae’r pennawd hwnnw’n cyrraedd o flaen unrhyw beth arall.

Beth sy’n cyrraedd gyntaf mewn gwirionedd

Oherwydd y drefn honno, nid cofnod TLS yw’r peth cyntaf ar y wifren. Pennawd OpenVPN ydyw, ac yna cynnwys pa sianel bynnag y mae’r pennawd yn ei chyhoeddi. Mae ClientHello yno, dim ond nid ar y beit sero. Nid oes angen dadgryptio i sylwi ar y gwahaniaeth, oherwydd mae’r siâp ei hun yn ei ddatgelu.

Mae rhagosodiadau’n bwysig yma hefyd. UDP i 1194 yw’r llif oni bai bod y proffil yn dewis TCP. Naill ffordd neu’r llall, twnnel yn hytrach na chais gwe yw’r olwg allanol.

Tri ffordd onest o newid y siâp

Mae terfynnwr TLS fel stunnel yn derbyn TLS ar borth ym mhob pen ac yn trosglwyddo’r llif wedi’i ddadgryptio i OpenVPN yn lleol, felly mae’r rhwydwaith yn gweld TLS i’r porth hwnnw. Mae protocol sy’n TLS o’r beit cyntaf yn ymddwyn yn wahanol eto: mae’r gyfnewidfa sy’n gydnaws ag AnyConnect y mae ocserv yn ei gweithredu yn debyg i’r mynediad o bell corfforaethol y mae llawer o rwydweithiau’n ei ddisgwyl yn barod. Mae gan SSTP, sy’n dod gyda Windows, yr un briodwedd mewn cynnyrch gwahanol.

Ar Linux, mae’r opsiwn -w gan SSH yn cario dolen bwynt-i-bwynt o fewn sesiwn SSH, sy’n ddefnyddiol pan mai SSH yw’r unig brotocol a ganiateir. Dyma’r rhataf o’r pedwar os yw SSH eisoes yn gweithio o’r rhwydwaith hwnnw, a’r lleiaf defnyddiol os nad yw.

Beth nad yw’r un ohonynt yn ei newid

Nid oes yr un o’r rhain yn newid beth y gall y twnnel ei gyrraedd. Nid ydynt yn gwneud cyfeiriad wedi’i rwystro yn gyrraeddadwy, nid ydynt yn dilysu unrhyw un, ac nid ydynt yn penderfynu llwybrau.

Mae amlapiwr hefyd yn costio cydran i chi. Mae dau wrandawr a dau ffeil ffurfweddu yn golygu dau le i fethiant, ac mae’r ddau yn edrych yn union yr un fath o sedd y defnyddiwr. Cyllidebwch ar ei gyfer cyn mabwysiadu un. Mae’r sesiwn yn parhau yn un llif amgryptiedig hirhoedlog i un cyrchfan, ac mae ei chyfaint a’i hamseru yn parhau’n weladwy.

Diagnostigwch yn gyntaf, yna dewiswch

Felly diagnostigwch yn gyntaf. Atebir UDP a ollyngwyd gan fodd TCP, ac atebir llofnod a adnabyddir gan brotocol gwahanol neu amlapiwr. Dewis offeryn cyn i chi wybod y bloc yw sut mae pobl yn diweddu’n cynnal tri haen sy’n methu i gyd am yr un rheswm.

Mae rhwydwaith sy’n caniatáu porthladdoedd gwe yn unig yn culhau’r dewis i brotocol seiliedig ar TLS ar 443. Mae cymhwyso’r tri ar unwaith yn rhoi pentwr na all neb ei ddadfygio, felly newidiwch un peth ac ailbrofwch yr un llif.

Os nad oes yr un yn berthnasol, yr ateb cywir yw na fydd y rhwydwaith hwn yn cario twnnel i chi. Canfyddiad yw hynny yn hytrach na methiant ymdrech. Nid yw cylchu drwy fwy o opsiynau yn gwrthdroi penderfyniad polisi a wnaed ymhellach i fyny.

Mae un ffin yn sefyll o flaen hyn i gyd. Mae caniatâd i redeg twnnel ar rwydwaith rhywun arall yn fater polisi, a benderfynir ar wahân i a yw’r mecanwaith yn gweithio. Mae’r ffeithiau hyn yn esbonio beth y mae arsylwr yn ei weld, ac nid ydynt yn rhoi caniatâd.