Τι κάνει στην πραγματικότητα το πεδίο Proxy σε ένα προφίλ VPN της Apple

Η συμπλήρωση του πεδίου Proxy σε μια διαμόρφωση VPN της Apple μοιάζει σαν να πρέπει να αναδρομολογήσει τη σήραγγα μέσα από μια θύρα ιστού. Δεν το κάνει. Το πεδίο επιλέγει έναν ενδιάμεσο σε επίπεδο εφαρμογής για την κίνηση που μια συμβατή εφαρμογή επιλέγει να στείλει εκεί. Αντίθετα, η σύνδεση του ίδιου του πελάτη VPN με την πύλη του καθορίζεται από το πρωτόκολλο, τον ακροατή και τη μεταφορά που ρυθμίσατε, και αυτές είναι χωριστές αποφάσεις.

Δύο συνδέσεις, δύο ιδιοκτήτες

Κάθε τέτοια ρύθμιση περιλαμβάνει μια σύνδεση από τον πελάτη προς την πύλη και μια από την εφαρμογή προς τον προορισμό. Η ενότητα Proxy μιλά για τη δεύτερη, παρόλο που βρίσκεται στο ίδιο προφίλ με την πρώτη.

Η αναφορά ρυθμίσεων proxy της Apple απαριθμεί HTTP, HTTPS, SOCKS και αυτόματη διαμόρφωση proxy, που περιγράφει τις επιλογές proxy των εφαρμογών. Καμία από αυτές τις καταχωρίσεις δεν λέει τίποτα για το πώς ένα πακέτο IPsec ή WireGuard φτάνει σε μια πύλη.

Ορίστε ένας γρήγορος έλεγχος που το ξεκαθαρίζει. Ονομάστε τη θύρα και το πρωτόκολλο που αναφέρει ο πελάτης VPN στο αρχείο καταγραφής του. Αν αυτή η γραμμή λέει ακόμη UDP 500 ή UDP 51820, το πεδίο proxy δεν άλλαξε τίποτα σε αυτήν.

Πότε το πεδίο είναι το σωστό εργαλείο

Υπάρχει μια πραγματική περίπτωση όπου ένα proxy βρίσκεται μπροστά από τη σήραγγα, αλλά είναι λειτουργία του πελάτη και όχι πεδίο προφίλ. Το εγχειρίδιο του OpenVPN τεκμηριώνει το --http-proxy για συνδέσεις TCP που μεταφέρονται μέσω proxy HTTP CONNECT. Η χρήση του απαιτεί την αντίστοιχη επιλογή πελάτη, μια πύλη προσβάσιμη με αυτόν τον τρόπο και ένα proxy που επιτρέπει CONNECT στη θύρα που χρησιμοποιείται.

Αν ο πελάτης σας εκθέτει αυτή την επιλογή και το δίκτυο επιτρέπει CONNECT στη θύρα, μπορεί να λειτουργήσει. Αν ο πελάτης δεν την εκθέτει, η συμπλήρωση ενός proxy συστήματος δεν έχει καμία επίδραση στη σήραγγα.

Πότε δεν αλλάζει τίποτα

Ένα προφίλ IKEv2 ή IPsec δεν γίνεται σήραγγα HTTP επειδή συμπληρώθηκε το πεδίο proxy. Ούτε το WireGuard, του οποίου η μορφή διαμόρφωσης δεν έχει έννοια proxy. Η αλλαγή της θύρας της πύλης δεν αλλάζει ούτε το πρωτόκολλο. Και ένα άκρο που απαντά σε συνηθισμένο HTTPS δεν είναι αυτόματα ακροατής VPN.

Η ίδια παγίδα πιάνει όσους αντιγράφουν προφίλ της εποχής PPTP από παλιούς οδηγούς iPad. Οι επιλογές υπάρχουν ακόμη στη διεπαφή· η υπηρεσία πίσω τους δεν μιλά πια αυτό το πρωτόκολλο.

Απόφαση για το ποιο επίπεδο να διορθωθεί

Ρωτήστε ποιο επίπεδο απέτυχε πριν αλλάξετε οτιδήποτε. Αν ο πελάτης δεν μπορεί να δημιουργήσει συνεδρία, το πρόβλημα είναι η μεταφορά και το πεδίο proxy είναι άσχετο. Αν η σήραγγα είναι ενεργή αλλά μια εφαρμογή δεν φτάνει στον διακομιστή της, αξίζει να εξετάσετε το proxy της εφαρμογής. Αν η σήραγγα είναι ενεργή και όλες οι εφαρμογές αποτυγχάνουν, ύποπτοι είναι η δρομολόγηση και το DNS μέσα στη σήραγγα.

Για την πρώτη περίπτωση, ρωτήστε τον πάροχο ποια εγκεκριμένη εναλλακτική μεταφορά ή δίκτυο υποστηρίζει. Το OpenVPN πάνω από TCP 443 υπάρχει επειδή ορισμένα δίκτυα επιτρέπουν μόνο αυτό, και απαιτεί ακόμη ο διακομιστής να το ακούει.

Μην αντιμετωπίζετε μια φραγμένη θύρα UDP ως άδεια για αυτοσχεδιασμό. Διατηρήστε τους ελέγχους πιστοποιητικού ή ταυτότητας της πύλης αντί να τους απενεργοποιήσετε για να ταιριάξει η χειραψία.

Επιβεβαιώστε τα δύο επίπεδα ένα κάθε φορά

Επιβεβαιώστε πρώτα τη σήραγγα: ελέγξτε στη σελίδα κατάστασης του πελάτη για εγκατεστημένη συνεδρία και μη μηδενικό αριθμό byte. Στη συνέχεια διαβάστε τη ρύθμιση proxy απευθείας, με scutil --proxy για την ενεργή διαμόρφωση ή networksetup -getwebproxy Wi-Fi για την αποθηκευμένη τιμή. Έπειτα δοκιμάστε μια εφαρμογή που σέβεται το proxy του συστήματος και μια που το αγνοεί, γιατί πολλές εγγενείς εφαρμογές το αγνοούν.

Τρία αποτελέσματα, τρεις διαφορετικές διορθώσεις.

Αν και τα δύο επίπεδα αναφέρουν επιτυχία και η εφαρμογή εξακολουθεί να αποτυγχάνει, κοιτάξτε τη διαχωρισμένη σήραγγα, το DNS και τις δικές της ρυθμίσεις δικτύου. Αυτό είναι ένα τρίτο επίπεδο, και ούτε αυτό είναι το πεδίο proxy.