TLS kontrol-kanalaren barruan doa, ez tunel osoan zehar

VPN baten deskribapenean TLS hitza ikusi eta web proxy batek trafiko hori ulertuko duela ondorioztatzea lasterbide ohikoa da. Protokolo honen barruan parekoek beren paketeak trukatzen dituzte, eta TLS truke horren kanal baten parte gisa exekutatzen da. Erabiltzaileari axola zaion karga erabilgarria beste mezu-formatu batean doa, eta horregatik biak ez datoz inoiz bat HTTPS saio arrunt batekin.

Gutun-azala dator lehenengo

Tunel-pakete bakoitza protokoloaren beraren goiburuarekin hasten da: mezu-mota bat, gako-identifikatzaile bat eta, byte-fluxuko garraioan, paketea non amaitzen den markatzen duen luzera-prefix bat. Gutun-azal hori analizatzen ez duen irakurleak ezin daki hurrengo eremua non hasten den.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Zirriborro hori mapa bat da, ez byte-taulera bat, eremu zehatzak mezu-motaren araberakoak baitira, nahiz eta lehen oktetoak beti batera paketatzen dituen opkodea eta gako-identifikatzailea. Mezu-mota portu-zenbakitik asmatzea da deskodetzaileek ikusten dutena gaizki izendatzeko bidea. Ordena da diagnostikorako garrantzitsua: garraioa, gero protokoloaren gutun-azala, gero bi lan-motetako bat. Irakurri gutun-azala, ondoren datorrenari buruz edozein iritzi osatu aurretik. Leku okerrean hasten den deskodetzaileak ziurtasun handiko zentzugabekeria sortzen du.

Fidagarritasun-geruza protokoloarena da

Kontrol-mezuek ordenatutako entrega eta berrespena behar dituzte, eta protokoloak berak ematen du hori berrespenekin eta birbidalketekin. Berrespena mezu propio gisa irits daiteke edo beste kontrol-mezu batekin bidaiatu, eta horrek arrastoak irregularrak dirudite garbi den truke bakarra espero duenarentzat.

Abantaila da TLS eskuko-hitzarmenak garraiobide fidagarria lortzen duela kanpoko garraioa UDP denean ere. Kostua da datagrama bakar batek elkarrizketa horren zati bat baino ez dezakeela eduki, beraz, TLS erregistro autonomo gisa tratatzeak zentzugabekeria sortzen du. Berriz muntatzea protokolo-geruzan gertatu behar da. Horregatik harrapatutako paketea gutxitan dirudi eskuko-hitzarmen urrats oso bat.

Kanpoko garraioa TCPra aldatzeak ez du geruza hau kentzen. Garraio fidagarriak protokolo-mailan birbidalketa gutxiago esan nahi du, ez markoa desagertzen dela edo trafikoa HTTP bihurtzen dela.

Datu-paketeek beste formatu bat erabiltzen dute

Saioa existitzen denean, karga erabilgarria barneko IP paketeak edo Ethernet markoak daramatzaten datu-mezu gisa iristen da. Bere gako eta prozesamendu propioekin babestuta daude, eta ez dira TLS aplikazio-erregistro TLS liburutegi batek onartuko lukeen inolako zentzuan.

Bereizketa hori konfigurazioan ikusten da: kontrol-kanalak eta datu-kanalak zifratze-ezarpen bereiziak dituzte, beraz, bat izendatzen duen erregistro-lerroak ez dizu ezer esaten besteaz. Kontrol-zifratze sendoa datu-zifratze sendoaren froga gisa irakurtzea ohiko txosten-errorea da.

Eduki ezazu lotutako okerreko ustea azalpenetik kanpo. TLS ez da gako publikoaren kanal bat datu-kanal simetrikoaren ondoan eserita, TLS berak bere erregistroak simetrikoki babesten baititu gakoak ezarri ondoren. Benetako bereizketa rola eta pakete-formatuak dira, ez alde bakoitzak zer kriptografia mota erabiltzen duen.

Zergatik ezin duen HTTPS proxy batek lagundu

TLS amaitzen duen proxy batek TLS erregistroen fluxua eta, horren barruan, aplikazio-protokolo bat espero ditu. Protokolo honen kontrol-kanala bere marko propioaren barruan garraiatzen da, inguruan fidagarritasun-geruza bat duela, beraz, amaitzen duen proxyak marko hori sarrera hondatutzat irakurtzen du.

Byteak edo datagramak interpretatu gabe pasatzen dituen birbidaltzaile gardenak funtziona dezake, baldin eta fluxua berridazten edo berriz muntatzen ez badu. Bitartekari bati buruz egin beharreko galdera da garraio eta marko errealak birbidaltzen dituen ala ez, ez ea nonbait TLS onartzen duen. Galdetu hori proxy-arauetan gau bat eman baino lehen. Hemen huts egite gehienak arkitektonikoak dira, ez falta den ezarpen bat.

Arrastoa zuzen irakurtzea

Espero ezazu lehenengo kontrol-truke bat, gero askoz datu-mezu gehiago, biak garraio bat partekatuz. Kontrol-fasea amaitzen bada eta datu-fasea trabatzen bada, akatsak gakoei, bideratzeari edo datu-bidearen iragazketari eragiten die, ez eskuko-hitzarmenari. Harrapatu datu-mezu batzuk eta egiaztatu bezeroa uzten duten ala ez. Behaketa bakar horrek bilaketa erdibitzen du.

Gako-metodoen deskribapen historikoak protokoloaren dokumentazioan ez dute esan nahi bertsio jakin batek formato zahar guztiak onartzen jarraitzen duenik. Egiaztatu exekutatzen duzun bertsioa, gauzak lehenago nola funtzionatzen zuten deskribatzen duen paragrafo batean itxaropena eraiki aurretik.