VPN blokeatuta web-soilik sarean? Landu geruzak

Nabigatzaileak funtzionatzen duen eta tunel guztiak hiltzen diren campus edo hotel sare bat ez da arazo bakarra, lau pilatuta baizik. Bideak TCP 443 soilik onar dezake, proxy autentifikatua eskatu, eskuko keinua ikuskatu eta urruneko sarbidea politikaz debeka dezake. Horiek ordenan lantzeak sare-arau bat konpontzeko bezero berria erostea saihesten du. Ondorengo gidak hamar bat minutu irauten ditu eta zein geruzak ukatu zintuen erantzun idatziarekin amaitzen da.

Frogatu zein geruzak ukatzen duen konexioa

Ez hasi VPN bezeroarekin. Hasi host berari HTTPS eskaera arrunt batekin eta irakurri denbora-faseak, huts egiten duen faseak esaten baitizue zein gailu den arduraduna:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Erantzunik eta connect denborarik ez bada, TCP ez zen inoiz osatu, beraz suebaki bat, proxy baldintza bat edo helmuga oker bat dago jokoan. connect denbora dagoenean tls denborarik gabe, erdian zerbait konexioa onartu eta eskuko keinua gelditu zuela esan nahi du, eta hala ikusten da proxy ikuskatzaile bat bezeroaren aldetik.

Orain ikuskatu benetan jasotzen duzun ziurtagiria. Zerbitzariarekin hitz egiten duzun ala saioa berriz sinatu zuen tarteko kaxa batekin jakiteko modurik azkarrena da:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Irakurri igorlearen lerroa. Zeure CA izateak zerbitzura iritsi zarela esan nahi du; enpresa edo gailu igorleak iragazki batek konexioa amaitu eta gero zer gertatuko den erabakitzen ari dela. Erregistratu bi irteerak denbora-marka batekin, ordu bat geroago ostalari-sarean proba berak erantzun desberdina eman baitdezake.

Proxyaz jabetzen den bezeroak lehen paketea aldatzen du, ez politika

Sareak proxy autentifikatu baten bidez CONNECT eskatzen badu, VPN bezeroari esan behar zaio, bestela ezin duen helbide batera socketa irekitzen saiatuko da. Probatu proxya bezeroarengandik bereizita, hutsegiteak azalpen bakarra izan dezan:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Lehen komandoak proxya helmuga eramango duela frogatzen du. Bigarrenak bezeroari 443an TCP erabiltzeko eskatzen dio, web-soilik bide gehienek aurrera bidaliko duten garraio bakarra. Lehen komandoak arrakasta badu eta bigarrenak oraindik huts egiten badu, proxya ez da oztopoa.

Bezero batzuek sistema eragilearen proxya irakurtzen dute gainidaztearen ordez, eta batzuek ez dute bat bera ere irakurtzen. Egiaztatu aplikazioaren dokumentazioa sistema-mailako ezarpen bat balio duela suposatu aurretik. Proxyak zerbitzatzen ez duen ebazle baten bidez muturra ebazten duen bezeroak ere huts egingo du hemen, eta horregatik DNS aldaketa konponbide itxura izan dezake beste desbideratze bat baino ez denean.

Begiratu gidatze-ereduari ere. Iragazitako sare batek hornitzaile baten detekzio-hostalariaren izenari bere zerbait erantzun dakioke, bezeroak zein proxy profil aukeratzen duen aldatuta. Ez eraiki prozesurik bitxikeria horren inguruan. Tokian toki aldatzen da, ohartarazpenik gabe aldatzen da, eta ez da beste inorentzat onartu dezakezun zerbait.

443 ataka iristeko modukoa da, baina ez dago baimenduta

Tunel bat 443an TLS-en biltzeak irisgarritasuna konpontzen du eta beste ezer ez. Ataka egiaztatzen duen iragazkiak pasatzen utziko du; eskuko keinuaren hatz-marka hartzen duen iragazkiak ez, eta bezeroaren agur zifratuak zerbitzariaren izena ezkutatzen du bi muturrek onartzen dutenean soilik. Exekutatu proba eta jakin zein iragazkiren atzean zauden itxaron beharrean.

Errendimendu-kostua ere badago, jendeak geroago aurkitzen duena. Garraio fidagarri bat garraio fidagarri baten barruan galera handitzen du, barneko pilak kanpoko pilak dagoeneko berbidali dituen segmentuak berbidaltzen baititu. Esteka garbian inork ez du nabaritzen. Campus sare hari gabeko pilatuan tunela erabilgaitz bihurtzen da hain zuzen behar duzun unetan, eta grafikoa pakete-galera dirudi nahiz eta ezer ez den nahita botatzen.

UDP izaten da lehen biktima, eta hobe da berretsi deduzitu beharrean. WireGuard-ek edo defektuzko OpenVPN-k sekula eskuko keinua osatzen ez badu TCP 443-k funtzionatzen duen bitartean, sareak UDP botatzen ari da, eta gakoak birsortzeak ez du hori aldatuko:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Atzo funtzionatzen zuen kide baten ondoan eskuko keinuaren denbora-marka hutsa UDPren erantzuna da. Bi DNS kontsultek beste galdera bati erantzuten diote: tokiko ebazlea eta ebazle publikoa muturreko helbideaz ados ez badaude, gidatzen ari zaituzte eta garraioaren argudioa okerra da.

Egiaztatu zer atera zen benetan makinatik

Bezeroaren erregistroek bezeroak zer uste duen deskribatzen dute. Harrapaketa batek sareak zer ikusi zuen deskribatzen du, eta bien arteko aldea da kasu gehienak ebazten diren tokia:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

SYN paketeak ikusten badituzu eta SYN-ACKrik ez, blokeoa gorakoa da eta bezeroa errugabea da. Zerbitzariarena ez den helbide batera osatutako eskuko keinua ikusten baduzu, proxy edo atzemate batekin ari zara hizketan. Ezer ikusten ez baduzu, egiaztatu interfaze egokian harrapatu duzula ondorioren bat atera aurretik.

Soketen zerrendak kasu sotilago bat harrapatzen du: bigarren tunel batek defektuzko bidea duela dagoeneko. Bideratze-taularen inguruan borrokan ari diren bi bezerok etenkako hutsegiteak sortzen dituzte, blokeatutako sare baten itxura zehatza dutenak, eta harrapaketak espero ez zenuen interfaze batetik irteten den trafikoa erakutsiko du.

Atzera egitea eta gordetzea merezi duen oharra

Desegin aldaketak egin zenituen ordena alderantziz. Ken itzazu proxy aldagaiak, gelditu eskuz hasitako bezeroa eta kendu gehitu duzun bide edo ebazle gainidazte oro:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Eskuz hasitako bezeroa martxan uztea da ordenagailu eramangarri batek hurrengo bulegoko bisitan sare hautsia izateko modua. Shell profil batean uzitako proxy aldagaiek asteak geroago zerikusi ez duten tresnak hausten dituzte, eta haiek arazten dituenak ez ditu bi gertakariak lotuko.

Ondoren idatzi lau lerro: sarea, denbora-marka, huts egin zuen fasea eta ikusi zenuen igorlea. Campus batean funtzionatzen duen eta hurrengoan huts egiten duen bidea normala da, eta hurrengo pertsonak jakin behar du aldea proxya, ebazlea ala iragazkia izan zen. Erantzuna sareak urruneko sarbidea debekatzen duela bada, gelditu hor eta eskatu administratzaileari onartutako bidea, irakurri ez duzun politika batera saihesbide bat eraman ordez.