OpenVPN ez da hotelako Wi-Fi sarean konektatzen? Probatu TCP 443

Ireki bezeroa, sakatu Connect eta irakurri egoera-lerroa, jarraian datorren elkarrizketa-koadroa beharrean. Hotel, campus edo mugikor sare baten ondoren Connecting edo Waiting for server egoeran trabatzen den profilek normalean bere garraioa galdu du bidean zehar, ez bere kredentzialak. Hurrengo urrats erabilgarria sare horrek zer daraman jakitea da, zerbitzaria ukitu aurretik. Ez aldatu ezer profil berak beste nonbait funtzionatu arte.

Probatu lehenik telefonoaren hotspot batetik. Tunela han altxatzen bada, zerbitzaria, ziurtagiria eta kontua ondo daude, eta geratzen den aldagai bakarra zure aurrean dagoen sarea da.

Hasi bezeroan: irakurri egoera-lerroa

Egoera-lerroak esaten du zein etapa huts egin duen. Connecting egoeran trabatuta dagoen bezeroa oraindik ostalaria ebazten edo kanpoko socketa irekitzen ari da; Waiting for server egoerara iristen denak bidea du baina ez erantzunik; autentifikatu eta gero erortzen denak erabat beste arazo bat du. Bezeroaren erregistroak eta profileko remote eta proto eremuek erakusten dute zer egiten saiatzen ari den bezeroa, eta --verb 4 komando-lerroko bezeroan xehetasun bera inprimatzen du. Zure aurrean dagoen sarearekin alderatzeak bihurtzen du «VPN-a blokeatuta dago» baieztapen zehatz.

Ondoren aztertu sarea jadanik dituzun tresnekin. nc -vzu 203.0.113.10 1194 datagrama UDP bat bidaltzen du, curl -v telnet://203.0.113.10:443 TCP eskuko keinu bat osatzen den ala ez jakinarazten du, eta HTTPS orrialde bat kargatzen duen nabigatzaileak irteerako 443 harrera ostalari bakar horretara iristen dela baino ez du frogatzen. Proba txikiek VPN bezeroak ezin duena erantzuten dute: zein ataka eta protokolo irteten dira sare honetatik.

Hiru sare-portaera berdinak dirudite bezeroaren aldetik eta erantzun desberdinak behar dituzte. Irteerako 443 irekita egon daiteke, proxy bat soilik onartu daiteke, edo 443 gardentasunez birbideratu daiteke daraman irakurtzeko gai ez den ikuskapen-kutxa batera. Lehena beheko profil-aldaketak konpontzen du, bigarrena proxy ezarpenek, eta hirugarrenak eskuko keinu bat osatu eta gero trabatu daiteke ikuskatzaileak korrontea gustuko ez duela erabakitzen duenean. Zeini aurre egiten diozun jakitea hamar minutuko aldaketaren eta bezeroak berriz instalatzen igarotako arratsalde baten arteko aldea da.

Mugitu entzulea eta profila elkarrekin

Zerbitzariaren aldean, ezarri entzulea sareak baimendutakoan: port 443 eta proto tcp zerbitzariaren konfigurazioan, gero berrabiarazi zerbitzua eta berretsi socketa ss -lntp erabiliz. Bezeroaren aldean, profilek bat etorri behar du, garraioa eta ataka tunelaren kanpoan baitaude: proto tcp eta port 443 .ovpn fitxategian, edo aplikazioaren ezarpenen pantailako eremu egokiak. Oraindik UDP 1194 helburutzat duen profilek aurretik bezala huts egiten du, eta tentazioa jada konponduta dagoen suebaki bat erruztatzea da. Ostalari berak 443-an HTTPS ere erantzuten badu, bi entzuleek ezin dute helbide eta protokolo hori partekatu; eman VPN-ari bigarren helbide bat edo jarri demultiplexadore bat aurretik.

Jarraitu lehen konexioa tcpdump -ni any port 443 erabiliz bi muturretan. Bezeroa uzten duten eta inoiz iristen ez diren paketeek sareak azkenean iragazten duela esan nahi dute, edo profileko helbidea ez dela zuk suposatutakoa. Erantzunik gabe iristen diren paketeek zerbitzariaren erregistrora bidaltzen zaituzte, non protokolo-desadostasuna berehala agertzen baita baztertutako pakete gisa.

Proxy bat soilik irteten denean sarera

Gonbidatuen sare batzuek HTTP proxy bat baino ez dute onartzen, eta hori ataka itxi bat ez bezalako murrizketa da, eta OpenVPN baino gehiago baztertzen du. PPTP, L2TP/IPsec edo IPsec soilik hitz egiten duten bezeroek ez dute hortik pasatzeko modurik, diseinu horiek beren kanpoko protokoloa zuzenean zerbitzarira iristea espero baitute. OpenVPN gai da, bezeroaren profilean http-proxy proxy.example.net 8080 jarrita, proxy-ak zure atakara CONNECT metodoa onartzen badu. SOCKS proxy bat are errazagoa da, korrontea barrunbea zaindu gabe bidaltzen baitu.

Bezeroak proxy euskarririk ez duenean, 443 gaineko SSH tunel bat izaten da geratzen dena. Bigarren geruza bat gehitzen du, eta sareko operadoreak iritzia izan dezake honen inguruan, beraz tratatu bidai bakarrerako zubi gisa, arkitektura gisa beharrean.

Kalkulatu ordezkoaren kostua gorde aurretik

TCP TCP barruan kostu ezaguna du. Kanpo-konexioa TCP denean eta karga ere TCP bada, galdutako segmentu batek berbidalketa eragiten du bi geruzatan, eta barne-konexioak ikusten ez duen galera batetik atzera egiten du. Nabigazioak gainditzen du hori; saio interaktiboek eta deiek sentitzen dute. Mantendu TCP 443 entzulea hura eskatzen duten sareetarako ordezko gisa, eta utzi UDP lehenetsita oraindik hura pasatzen uzten duen guztiarentzat.

Idatzi aukera profileko izenean eta laguntza-oharretan: zein ataka, zein protokolo eta zein sarek eragin zuen. Gero galdetu sareko administratzaileari ataka hori irekita jarraituko ote den hurrengo ekipamendu-berritzearen ondoren, isilka desagertzen den ordezko bat bat ere ez izatea baino okerragoa baita.