Kie TLS sidas ene de OpenVPN, kaj kio ŝanĝas la formon

OpenVPN vere uzas TLS, kaj homoj rutine etendas tion al aserto, kiun ĝi ne povas porti: ke tunelo do aspektas kiel retumilo vizitanta retejon. La unua parto estas vera. La dua ne. TLS ĉi tie apartenas al kontrola kanalo, kiu vojaĝas ene de la propra ujo de OpenVPN, apud utilŝarĝa kanalo kun tute alia kriptografio, do kiu inspektas la komencajn bajtojn, vidas OpenVPN.

Du konversacioj en unu koverto

Pensu pri sesio kiel du konversacioj dividantaj unu koverton. Unu validigas atestilojn kaj derivas ŝlosilmaterialon. La alia ĉifras tion, kion vi efektive sendas, uzante tion, kion produktis la unua.

La koverto estas la protokolo. Ĉiu pakaĵo komenciĝas per malgranda kaplinio, kiu nomas sian tipon, kaj tiu kaplinio alvenas antaŭ ĉio alia.

Kio efektive alvenas unue

Pro tiu ordo, la unua afero sur la drato ne estas TLS-rikordo. Ĝi estas la kaplinio de OpenVPN, sekvata de la enhavo de tiu kanalo, kiun la kaplinio anoncas. ClientHello ekzistas ene, nur ne ĉe la nula bajto. Por rimarki la diferencon necesas neniu malĉifrado, ĉar la formo mem malkaŝas ĝin.

Defaŭltoj gravas ankaŭ ĉi tie. La fluo estas UDP al 1194 krom se la profilo elektas TCP. En ambaŭ kazoj la ekstera aspekto estas tunelo, ne reta peto.

Tri honestaj manieroj ŝanĝi la formon

TLS-finilo kiel stunnel akceptas TLS sur pordo ĉe ĉiu fino kaj transdonas la malĉifritan fluon al OpenVPN loke, do la reto vidas TLS al tiu pordo. Protokolo, kiu estas TLS de la unua bajto, kondutas alie: la AnyConnect-kongrua interŝanĝo, kiun ocserv realigas, similas al la entreprena fora aliro, kiun multaj retoj jam atendas. SSTP, kiu venas kun Windows, havas la saman econ en alia produkto.

En Linux, la opcio -w de SSH portas punkt-al-punktan ligilon ene de SSH-sesio, kio utilas kiam SSH estas la sola permesita protokolo. Ĝi estas la plej malmultekosta el la kvar se SSH jam funkcias el tiu reto, kaj la malplej utila se ĝi ne funkcias.

Kion neniu el ili ŝanĝas

Neniu el ĉi tiuj ŝanĝas kion la tunelo povas atingi. Ili ne faras blokitan adreson atingebla, ili ne aŭtentikigas iun, kaj ili ne decidas vojojn.

Volvilo ankaŭ kostas al vi komponanton. Du aŭskultantoj kaj du agordaj dosieroj signifas du lokojn por fiasko, kaj ambaŭ aspektas identaj el la sidloko de la uzanto. Buĝetu por tio antaŭ ol adopti unu. La sesio restas unu longdaŭra ĉifrita fluo al unu celloko, kaj ĝia volumeno kaj tempigo restas videblaj.

Unue diagnozu, poste elektu

Do unue diagnozu. Forĵetita UDP estas respondata per TCP-reĝimo, kaj rekonebla subskribo estas respondata per alia protokolo aŭ volvilo. Elekti ilon antaŭ ol vi konas la blokadon estas kiel homoj finas prizorgante tri tavolojn, kiuj ĉiuj fiaskas pro la sama kaŭzo.

Reto, kiu permesas nur ret-portojn, mallarĝigas la elekton al TLS-bazita protokolo sur 443. Apliki ĉiujn tri samtempe donas staplon, kiun neniu povas sencimigi, do ŝanĝu unu aferon kaj retestu la saman fluon.

Se neniu validas, la preciza respondo estas, ke ĉi tiu reto ne portos tunelon por vi. Tio estas konstato, ne fiasko de penado. Trapasi pli da opcioj ne renversas politikan decidon faritan pli supre.

Unu limo staras antaŭ ĉio ĉi. Permeso funkciigi tunelon en la reto de iu alia estas politika afero, decidata aparte de ĉu la mekanismo funkcias. Ĉi tiuj faktoj klarigas kion observanto vidas, kaj ili ne donas permeson.