Kus TLS OpenVPN-i sees paikneb ja mis muudab kuju

OpenVPN tõesti kasutab TLS-i ja inimesed laiendavad seda rutiinselt väiteks, mida see ei kanna: et tunnel näeb seetõttu välja nagu saiti külastav brauser. Esimene osa on tõsi. Teine ei ole. TLS kuulub siin juhtkanalile, mis liigub OpenVPN-i enda konteineri sees, kõrvuti täiesti erineva krüptograafiaga kasuliku koormuse kanaliga, seega kes algbaite uurib, näeb OpenVPN-i.

Kaks vestlust ühes ümbrikus

Mõelge sessioonist kui kahest vestlusest, mis jagavad ühte ümbrikku. Üks valideerib sertifikaate ja tuletab võtmematerjali. Teine krüpteerib selle, mida te tegelikult saadate, kasutades seda, mida esimene tootis.

Ümbrik on protokoll. Iga pakett algab väikese päisega, mis nimetab selle tüübi, ja see päis saabub enne kõike muud.

Mis tegelikult saabub esimesena

Selle järjestuse tõttu ei ole juhtmel esimene asi TLS-kirje. See on OpenVPN-i päis, millele järgneb selle kanali sisu, mida päis teatab. ClientHello on seal olemas, lihtsalt mitte nullbaidil. Erinevuse märkamiseks pole dekrüpteerimist vaja, sest kuju ise reedab selle.

Vaikeväärtused loevad ka siin. Voog on UDP porti 1194, kui profiil ei vali TCP-d. Mõlemal juhul on väline ilme tunnel, mitte veebipäring.

Kolm ausat viisi kuju muutmiseks

TLS-terminaator nagu stunnel võtab mõlemas otsas vastu TLS-i pordil ja annab dekrüpteeritud voo OpenVPN-ile lokaalselt, seega võrk näeb TLS-i selle pordi suunas. Protokoll, mis on TLS juba esimesest baidist, käitub jälle teisiti: AnyConnect-iga ühilduv vahetus, mida ocserv rakendab, sarnaneb ettevõtte kaugjuurdepääsuga, mida paljud võrgud juba ootavad. SSTP-l, mis tuleb Windowsiga, on sama omadus teises tootes.

Linuxis kannab SSH valik -w punkt-punkti linki SSH-sessiooni sees, mis on kasulik, kui SSH on ainus lubatud protokoll. See on neljast kõige odavam, kui SSH juba sellest võrgust töötab, ja kõige vähem kasulik, kui ei tööta.

Mida ükski neist ei muuda

Ükski neist ei muuda seda, kuhu tunnel pääseb. Need ei tee blokeeritud aadressi kättesaadavaks, ei autenti kedagi ega otsusta marsruute.

Ümbris maksab teile ka ühe komponendi. Kaks kuulajat ja kaks konfiguratsioonifaili tähendavad kahte rikke kohta ning mõlemad näevad kasutaja kohalt ühesugused välja. Arvestage sellega enne, kui ühe omandate. Sessioon jääb üheks pikaajaliseks krüpteeritud voo ühe sihtkoha suunas ning selle maht ja ajastus jäävad nähtavaks.

Kõigepealt diagnoosige, siis valige

Nii et diagnoosige kõigepealt. Mahavisatud UDP-le vastab TCP-režiim ja tuvastatud signatuurile vastab teine protokoll või ümbris. Tööriista valimine enne, kui blokeeringut teate, on see, kuidas inimesed lõpuks hooldavad kolme kihti, mis kõik ebaõnnestuvad samal põhjusel.

Võrk, mis lubab ainult veebiporte, kitsendab valiku TLS-põhisele protokollile pordil 443. Kõigi kolme korraga rakendamine annab virna, mida keegi ei suuda siluda, seega muutke ühte asja ja testige sama voogu uuesti.

Kui ükski neist ei kehti, on täpne vastus see, et see võrk ei kanna teie jaoks tunnelit. See on leid, mitte pingutuse ebaõnnestumine. Rohkemate valikute läbikäimine ei pööra ümber ülalpool tehtud poliitikaotsust.

Üks piir seisab kõige selle ees. Luba tunnelit kellegi teise võrgus käitada on poliitika küsimus, mis otsustatakse lahus sellest, kas mehhanism toimib. Need faktid selgitavad, mida vaatleja näeb, ja need ei anna luba.