OpenVPN HTTP-proxy kaudu: lugege esmalt CONNECT-vastust
CONNECT-proxy edastab baite, seega vajavad mõlemad otsad TCP-d. Lugege 407, 403 ja 503 enne, kui süüdistate sertifikaate, ja hoidke serveri kontroll sees.
Suunake VPN-klient ettevõtte HTTP-proxy poole ja esimene kasulik fakt on see, et proxy ei räägi VPN-i protokolli. See avab tavalise TCP-ühenduse teie nimetatud aadressile ja astub seejärel kõrvale, jättes teie kliendi ja serveri oma vahetuse selle voo kaudu tegema. Kõik, mida klient vajab, transporditüübist serveri kuulajani, peab selle korraldusega sobima. Kaks mittevastavust seletavad enamikku ebaõnnestumisi: CONNECT-proxy poole suunatud UDP-profiil ja proxy vastus, mida peetakse VPN-i veaks.
Mida proxy kannab ja mida mitte
Proxy on ainult transpordi vaheast. Sellest ei saa teie brauseri proxy, see ei vahemälu saidid, mida te tunnelist külastate, ja see ei näe sisemist liiklust, kui keegi ei ole teadlikult kontrolli seadistanud. Tunnel, mille see avab, on selle jaoks disaini järgi läbipaistmatu.
See tähendab ka, et proxy ei saa parandada serverit, millel pole vastavat kuulajat. Luba sihtkohta jõuda ja sellel sihtkohal kuulav teenus on kaks eraldi fakti, ja ainult esimene kuulub proxy administraatorile.
Kandja peab olema TCP mõlemas otsas
Tavaline CONNECT-proxy edastab ainult baidivoogu , seega peab klient kasutama voo-transporti. Selle juhtumi kliendifragment näeb välja selline:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128Serveripool vajab tõelist TCP-kuulajat pordil, mis on remote-real nimetatud. Profiilis proto udp asendamine proto tcp-client-ga loob kliendi, mis ootab voogu; see ei loo voogu teisel pool. Kui sama server vastab sellel pordil ka UDP kaudu, on see teine kuulaja, mitte sama kuulaja teine režiim.
Kus on eraldi TCP-instants, on selle tunneliseade, aadressikogum ja marsruutimine omaette ressursid. Töötava konfiguratsiooni kopeerimine ja transpordisõna muutmine jätab need ressursid algse instantsi poole, mis annab ühenduse, mis autendib ja seejärel ei marsruudi midagi.
Lugege proxy vastust enne VPN-i tulemust
Kliendi esimene vahetus on päringurida, mis nimetab sihtkoha hosti ja porti. Selle rea vastus ütleb teile, kas baidivoog üldse olemas on, ja see saabub enne, kui kontrollitakse ükskõik millist sertifikaati või mandaati:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
Klassi 200 vastus CONNECT-päringule tähendab, et voog on olemas. See ei ütle midagi selle kohta, kas lüüsi sertifikaat on usaldusväärne, kas jagatud võti klapib või kas kasutajakonto on kehtiv. Need kontrollid toimuvad hiljem, voo sees, ja need ebaõnnestuvad kliendi enda sõnumitega, mitte HTTP-olekurireaga. Otsige kliendi logist esimest OpenVPN sündmust pärast proxy käepigistust, mitte viimast rida enne akna sulgemist.
Proxy mandaadid ja VPN-i mandaadid on sageli erinevad identiteedid, mida hoiavad erinevad meeskonnad. 407 ei ole VPN-konto vale parool ja tagasilükatud sertifikaat ei ole proxy õiguste probleem.
Mida CONNECT ei paljasta
Selgesõnaline CONNECT-tunnel ei ole pealtkuulamine. Proxy edastab baite ega lõpeta VPN-i TLS-seanssi, seega jääb kliendi poolt serveri sertifikaadi kontroll mõttekaks ja peaks sisse jääma. Kontrolli väljalülitamine proxy läbimiseks lahendab teistsugust probleemi kui teie oma.
On eraldi korraldusi, kus organisatsioon lõpetab ja kontrollib TLS-i teadlikult. Need nõuavad oma usalduse konfiguratsiooni ja oma poliitikaotsust ning ei ole see, mida tavaline http-proxy-rida palub.
TCP hind TCP sees
Tunneli kandmine üle TCP hoiab välimise voo järjestatud ja kordussaatmisega ning sisemine liiklus on tavaliselt samuti TCP. Need kaks taastemehhanismi ei koordineeru, seega üks kadunud segment võib seisma panna kõik, mis seda välimist voogu jagab, kuni see uuesti saadetakse. See on tõeline kompromiss ühilduvuse nimel, mitte tasuta uuendus.
Kasutage proxy teed, kui võrk ei jäta teile alternatiivi, ja eelistage otsest UDP-teed seal, kus poliitika lubab. Igal juhul veenduge pärast muudatust, et sama proxy, sihtkoht ja profiil jõuavad järgmisse etappi; brauser, mis laeb sellel aadressil lehte, kasutab teist protokolli ega tõesta tunnelist midagi.