Zer egiten duen benetan Apple VPN profil bateko Proxy eremuak
Proxy eremu bat betetzeak ez du VPN bat HTTP bihurtzen. Bi konexio daude tartean, eta eremuak horietako bakarrera iristen da.
Apple VPN konfigurazio bateko Proxy eremua betetzeak tunela web ataka batetik birbideratuko balu bezala ematen du. Ez du egiten. Eremuak aplikazio mailako bitartekari bat hautatzen du aplikazio bateragarri batek hara bidaltzea erabakitzen duen trafikoarentzat. VPN bezeroaren eta haren atebidearen arteko konexioa, berriz, konfiguratu dituzun protokoloak, entzuleak eta garraioak gobernatzen dute, eta horiek erabaki bereiziak dira.
Bi konexio, bi jabe
Horrelako edozein konfiguraziok bezeroaren eta atebidearen arteko konexioa eta aplikazioaren eta helmugaren arteko konexioa dakartza. Proxy atalak bigarrenari buruz hitz egiten du, lehenengoaren profil berean egon arren.
| Connection | What decides its behaviour |
|---|---|
| VPN client to VPN gateway | The supported protocol, the listening port, the transport and the network policy in between |
| Application to a selected proxy | The application's own proxy support, the configured proxy policy, and the route to that next hop |
Apple-ren proxy ezarpenen erreferentziak HTTP, HTTPS, SOCKS eta proxy konfigurazio automatikoa zerrendatzen ditu, eta horrek aplikazioen proxy aukerak deskribatzen ditu. Sarrera horietako batek ere ez du esaten nola iristen den IPsec edo WireGuard pakete bat atebide batera.
Hona hemen kontua argitzen duen proba azkar bat. Aipa itzazu VPN bezeroak bere erregistroan jakinarazten dituen ataka eta protokoloa. Lerro horrek oraindik UDP 500 edo UDP 51820 esaten badu, proxy eremuak ez zuen ezer aldatu horretan.
Noiz da eremua tresna egokia
Benetako kasu bat dago non proxy bat tunelaren aurrean dagoen, baina bezeroaren eginbide bat da, ez profileko eremu bat. OpenVPN eskuliburuak --http-proxy dokumentatzen du HTTP CONNECT proxy baten bidez garraiatutako TCP konexioetarako. Erabiltzeko beharrezkoa da dagokion bezero aukera, horrela irisgarria den atebide bat eta erabilitako atakara CONNECT baimentzen duen proxy bat.
Zure bezeroak aukera hori eskaintzen badu eta sareak atakara CONNECT baimentzen badu, funtziona dezake. Bezeroak eskaintzen ez badu, sistema proxy bat betetzeak ez du inolako eraginik tunelan.
Noiz ez du ezer aldatzen
IKEv2 edo IPsec profil bat ez da HTTP tunel bihurtzen proxy eremua beteta dagoelako. WireGuard ere ez, haren konfigurazio formatuak ez baitu proxy kontzepturik. Atebidearen ataka aldatzeak ere ez du haren protokoloa aldatzen. Eta HTTPS arruntari erantzuten dion mutur bat ez da automatikoki VPN entzule bat.
Tranpa berak harrapatzen ditu iPad gida zaharretatik PPTP garaiko profilak kopiatzen dituztenak. Aukerak oraindik daude interfazean; haien atzeko zerbitzuak ez du protokolo hori gehiago hitz egiten.
Zein geruza konpondu erabakitzea
Galdetu zein geruzak huts egin duen ezer aldatu aurretik. Bezeroak saioa ezarri ezin badu, garraioa da arazoa eta proxy eremua ez da garrantzitsua. Tunela martxan badago baina aplikazio bat bere zerbitzarira iristen ez bada, merezi du aplikazioaren proxyari begiratzea. Tunela martxan badago eta aplikazio guztiek huts egiten badute, tunelaren barruko bideratzea eta DNS dira susmagarriak.
Lehen kasurako, galdetu operadoreari zein garraio edo sare alternatibo onartu onartzen duen. OpenVPN TCP 443 gainean existitzen da sare batzuek hori soilik baimentzen dutelako, eta oraindik ere zerbitzariak hori entzutea eskatzen du.
Ez hartu blokeatutako UDP ataka bat inprobisatzeko baimen gisa. Mantendu atebidearen ziurtagiri edo identitate egiaztapenak osorik, eskua ematea egokitzeko desgaitu beharrean.
Egiaztatu bi geruzak banan-banan
Egiaztatu lehenik tunela: begiratu bezeroaren egoera orrian saio bat ezarrita dagoen eta byte kopurua zero ez den. Gero irakurri proxy ezarpena zuzenean, scutil --proxy erabiliz konfigurazio eraginkorrerako edo networksetup -getwebproxy Wi-Fi gordetako baliorako. Ondoren proba ezazu sistema proxya errespetatzen duen aplikazio bat eta hura alde batera uzten duen beste bat, aplikazio natibo askok alde batera uzten baitute.
Hiru emaitza, hiru konponketa desberdin.
Bi geruzek arrakasta jakinarazten badute eta aplikazioak huts egiten jarraitzen badu, begiratu tunel zatitua, DNSa eta aplikazioaren beraren sare ezarpenak. Hori hirugarren geruza bat da, eta hura ere ez da proxy eremua.