Zein protokolo eskaintzen ditu benetan VPN nodo publiko honek?
Zerbitzariaren softwareak protokolo bat onartzeak ez du esan nahi nodo honek gaitzen duenik. Egiaztatu amaiera-puntua, profila eta benetan huts egiten duen etapa.
Softwareak onartzen du, beraz nodoak eskaintzen du. Ondorio hori okerra da hain sarri, ezen arau bihurtu den: SoftEther inplementazio batek bere konexio-metodo bateragarrien edozein azpimultzo gaitu dezake, eta nodo publikoa jabea eta konfigurazioa dituen inplementazioa da. Zerekin konektatu zaitezkeen nodo horren araberakoa da, ez exekutatzen duen proiektuaren funtzio-zerrendaren araberakoa. Bien arteko hutsunean bizi dira, hain zuzen, „protokoloa hondatuta dago“ tiketak gehienak.
Zer agintzen duen proiektuaren zerrendak benetan
Proiektuaren protokolo-funtzioek zerbitzaria zertarako gai den deskribatzen dute. Nodo jakin batek entzule horietako batzuk gaitzen ditu eta besteak ez, eta operadoreak multzo hori alda dezake softwarearen bertsioari ukitu gabe. Beraz, eraikuntza bereko bi nodo desberdin jokatzen dute, eta baten aurka funtzionatzen duen profilak ez du ezer frogatzen hurrengo helburuaz. Nodoaren beraren zerrendak proiektuaren orrialdeak baino pisu handiagoa du non konektatu aukeratzean.
Irakurri zerrenda bost eremu gisa, ez menu gisa: amaiera-puntua, ataka, garraioa, protokolo-familia eta autentifikazio-metodoa. Publizitatzen duen nodo publiko batek SSTP ataka bateko entzule bati buruz hitz egin dizu; ez dizu esan zein ziurtagiri aurkezten duen edo zure kontuak han funtzionatzen duen. Bost eremu horiek zure profilekin alderatzea edozein berrinstalazio baino azkarragoa da, eta geroago proba dezakezun idatzizko itxaropena sortzen du.
Egokitu profila izendatzen duen amaiera-puntuarekin
SoftEther sarrera natiboa ez da automatikoki OpenVPN konfigurazioa, nahiz eta biak hornitzaile-orrialde bakarrean agertu izenburu beraren azpian. Nodo batek OpenVPNrako TCP zein UDP entzuleak argitaratzen dituenean, bi amaiera-puntu gisa tratatu: batetik bestera editatu den profilak inork gaitu ez zuen entzule bat seinalatzen du. Fitxategiko garraio-etiketa helbidearen parte da, ez ezarpen kosmetikoa.
Bezeroak inportatutako fitxategi bat onartzeak fitxategia analizatzen dela frogatzen du. Ez du ezer esaten beste muturrean urruneko entzule bat zain dagoen, eta horregatik da lehen konexio-saioak benetako proba. Alderatu profilaren remote lerroa nodoaren iragarritako ostalari eta atakarekin protokoloa errudun egin aurretik.
Aztertu huts egiten duen etapa
Web trafikoari erantzuten dion ostalari batek VPN zerbitzu nahirik gabe egon daiteke oraindik, eta protokolo bat ukatzen duen ostalaria ez dago nahitaez guztientzat erorita. Bi hutsegite horiek jendea norabide kontrajarrietan bidaltzen dute arratsalde berean. Bata ondo dagoen suebaki baten atzetik dabil; besteak inoiz arazoa izan ez zen bezero bat berrinstalatzen du. Aztertu bide bakoitza bereiz, erantzunak entzule bat deskriba dezan ostalari osoa baino.
Bost egiaztapen hauek nodo publikoen ohiko metodoak biltzen dituzte. Exekutatu bezeroak erabiltzen duen sare beretik, iragazitako ataka bat entzule faltak bezalakoa ematen duelako urrutitik.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Emaitza | Etapa | Zer baztertzen duen |
|---|---|---|
| Konexioa ukatuta edo denbora agortuta | Garraioa | Entzulea falta da, iragazita edo ataka okerra |
| TLS eskuko edo identitate errorea | Ziurtagiria | Protokoloaren eskuragarritasuna; entzuleak erantzun zuen |
| AUTH_FAILED edo kontuaren ukapena | Autentifikazioa | Amaiera-puntua; arazoa kredentzialak dira |
| UDP 500 eta 4500 isilik | IPsec negoziazioa | ESP eta L2TP autentifikazioaren aurretik blokeatuta daude |
Lotu behartutako errore bakoitza bere errenkadarekin ezer aldatu aurretik. TLS identitate-hutsegiteak entzulea badagoela frogatzen du, beraz profila beste protokolo batera berridazteak funtzionatzen duen froga baztertuko luke. Ukatutako konexioak soilik frogatzen du ataka honek ez zuela erantzun, eta hori askoz ere baieztapen estuagoa da „nodoak ez du OpenVPN onartzen“ baino.
Gorde errorea ezer aldatu aurretik
Idatzi emaitza zehatza: denbora-agortze bat, ziurtagiriaren identitate-hutsegite bat, kontuaren ukapen bat eta aplikazio-mailako uko bat lau emaitza desberdin dira. Lehena soilik da protokolo bat erabilgarri ez egoteaz, eta azkena soilik konexio arrakastatsu baten ondorengo baimenaz. Bezeroa berrezartzeak edo protokoloak aldatzeak bereizketa hori suntsitzen du, hurrengo hutsegitea historia desberdinarekin eta konparatzeko oinarrizko lerro gabe iristen delako.
Ez ahuldu egiaztapena profil bateraezin bat funtzionatzen ari dela emateko. Desgaitutako ziurtagiri-egiaztapenak identitate-hutsegite argi bat lortu nahi ez zenuen zerbaitetarako konexio bihurtzen du, eta ondoriozko arrakasta jatorrizko errorea baino okerragoa da, zein etapa oker zegoen ezkutatzen duelako.
Berrikusi nodo bakoitzeko, aldiro
Nodo publiko baten zerrendako SSL, OpenVPN, L2TP/IPsec eta SSTP aukera natiboen arabera, nodo horren konfigurazioa une hartan deskribatzen dute. Software bera beste leku batean multzo desberdina aurkez dezake, eta hornitzaileak entzule bat erretira dezake zure laster-marka eta hurrengo saioaren artean. Ohar zaharrek inplementazio zaharrak deskribatzen dituzte.
Erregistratu egiaztatutako profila bere amaiera-puntu eta metodoarekin, eta gero errepikatu azterketa nodoa aldatzen denean edo konexioa huts egiten hasten denean. SoftEther protokoloaren zehaztapena da softwareak zer egin dezakeenaren erreferentzia; nodoaren beraren zerrenda da zer egiten duenaren erreferentzia. Eutsi bi dokumentuak bereizita eta diagnostikoa laburragoa bihurtzen da.