OpenVPN HTTP proxy baten bidez: irakurri lehenengo CONNECT erantzuna

Zuzendu VPN bezero bat enpresako HTTP proxy batera, eta lehen datu erabilgarria da proxyak ez duela VPNaren protokoloa hitz egiten. TCP konexio arrunta irekitzen du adierazi duzun helbidera, eta gero albo batera egiten du, zure bezeroa eta zerbitzaria beren trukea korronte horretatik egiten uzten dituelarik. Bezeroak behar duen guztiak, garraio motatik zerbitzariaren entzulearenera, eraketa horrekin bat egin behar du. Bi desadostasunek azaltzen dituzte porrot gehienak: CONNECT proxy batera zuzendutako UDP profila, eta VPN errore gisa hartutako proxy erantzuna.

Proxyak zer daraman eta zer ez

Proxyak garraio jauzi bat besterik ez da. Ez da zure nabigatzailearen proxy bihurtzen, ez ditu tuneletik bisitatzen dituzun guneak cachean gordetzen, eta ez du barruko trafikoa ikusten norbaitek nahita ikuskapena konfiguratu ez badu. Irekitzen duen tunela gardenki ezina da berarentzat diseinuz.

Horrek ere esan nahi du proxyak ezin duela entzulerik ez duen zerbitzari bat konpondu. Helmuga bat iristeko baimena eta helmuga horretan entzuten duen zerbitzu bat bi gertaera bereiziak dira, eta lehena soilik dagokio proxyaren administratzaileari.

Garraioak TCP izan behar du bi muturretan

CONNECT proxy arrunt batek byte korronte bat baino ez du birbidaltzen , beraz bezeroak korronte garraioa erabili behar du. Kasu horretarako bezero zati batek itxura hau du:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

Zerbitzariaren aldeak TCP entzule benetakoa behar du remote lerroan aipatzen den atakan. Profil batean proto udp proto tcp-client aldizkatzeak korrontea espero duen bezero bat sortzen du; ez du korrontea beste aldean sortzen. Zerbitzari berak ataka horretan UDP bidez ere erantzuten badu, beste entzule bat da, ez beraren bigarren modua.

TCP instantzia bereizi bat dagoen lekuan, haren tunel gailua, helbide multzoa eta bideratzea bere baliabideak dira. Funtzionatzen duen konfigurazio bat kopiatu eta garraio hitza aldatzeak baliabide horiek jatorrizko instantziara seinalatzen uzten ditu, eta horrek autentifikatzen den eta gero ezer bideratzen ez duen konexio bat sortzen du.

Irakurri proxyaren erantzuna VPNaren emaitza baino lehen

Bezeroaren lehen trukea helmugako ostalaria eta ataka izendatzen dituen eskaera lerro bat da. Lerro horren erantzunak esaten dizu ea byte korronterik badagoen, eta edozein ziurtagiri edo kredentzial egiaztatu aurretik iristen da:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

CONNECT-i 200 klaseko erantzun batek korrontea badagoela esan nahi du. Ez du ezer esaten atearen ziurtagiria fidagarria den, partekatutako gakoa bat datorren edo erabiltzaile kontua baliozkoa den. Egiaztapen horiek geroago gertatzen dira, korrontearen barruan, eta bezeroaren beraren mezuekin huts egiten dute, HTTP egoera lerro batekin beharrean. Irakurri bezeroaren erregistroa lehen OpenVPN gertaerarako proxyarekin esku-ematearen ondoren, ez leihoa itxi aurreko azken lerroa.

Proxy kredentzialak eta VPN kredentzialak sarritan talde desberdinek dituzten identitate desberdinak dira. 407 bat ez da VPN kontuko pasahitz txarra, eta ukatutako ziurtagiri bat ez da proxy baimen arazoa.

CONNECTek zer ez duen erakusten

CONNECT tunel esplizitu bat ez da atzematea. Proxyak byteak birbidaltzen ditu eta ez du VPNaren TLS saioa amaitzen, beraz bezeroak zerbitzariaren ziurtagiria egiaztatzeak zentzua izaten jarraitzen du eta aktibo egon behar du. Egiaztapena itzaltzea proxy bat gainditzeko zure arazoa ez den beste arazo bat konpontzea da.

Badaude eraketa bereiziak non erakunde batek TLS nahita amaitzen eta ikuskatzen duen. Horiek beren konfiantza konfigurazioa eta beren politika erabakia behar dituzte, eta ez dira http-proxy lerro arrunt batek eskatzen duena.

TCPren kostua TCP barruan

Tunela TCP bidez eramateak kanpoko korrontea ordenatuta eta berbidalketarekin mantentzen du, eta barruko trafikoa ere TCP izan ohi da. Bi berreskuratze mekanismoek ez dute koordinatzen, beraz galdutako segmentu batek kanpoko korronte hori partekatzen duen guztia geldiarazi dezake berbidali arte. Benetako trukea da bateragarritasunaren truke, ez doako hobekuntza.

Erabili proxy bidea sareak alternatibarik uzten ez dizunean, eta hobetsi UDP bide zuzena politikak uzten duen lekuan. Edonola ere, aldaketaren ondoren egiaztatu proxy, helmuga eta profil bera hurrengo fasera iristen direla; helbide horretan orrialde bat kargatzen duen nabigatzaileak beste protokolo bat erabiltzen du eta ez du tuneletik ezer frogatzen.