Non dago TLS OpenVPN barruan, eta zer aldatzen duen formak

OpenVPN benetan TLS erabiltzen du, eta jendeak ohituta luzatzen du hori ezin duen baieztapen batera: tunel bat, beraz, gune bat bisitatzen duen nabigatzaile baten itxura duela. Lehen zatia egia da. Bigarrena ez. Hemen TLS kontrol-kanal bati dagokio, OpenVPN-en edukiontzi propioaren barruan doana, kriptografia guztiz desberdina duen karga-kanal baten ondoan, beraz hasierako byteak aztertzen dituenak OpenVPN ikusten du.

Bi elkarrizketa gutun-azal bakarrean

Pentsatu saio bat gutun-azal bat partekatzen duten bi elkarrizketa bezala. Batek ziurtagiriak balioztatzen ditu eta gako-materiala eratortzen du. Besteak benetan bidaltzen ari zarena zifratzen du, lehenengoak ekoitzitakoa erabiliz.

Gutun-azala protokoloa da. Pakete bakoitza bere mota izendatzen duen goiburu txiki batekin hasten da, eta goiburu hori beste edozer baino lehenago iristen da.

Zer iristen den benetan lehenengo

Ordena hori dela eta, kablean lehenengo agertzen dena ez da TLS erregistro bat. OpenVPN-en goiburua da, eta ondoren goiburuak iragartzen duen kanalaren edukia. ClientHello bat badago hor, baina ez zero bytean. Ez da deszifratzerik behar aldea nabaritzeko, forma berak salatzen baitu.

Lehenetsitako balioek ere badute garrantzia. Fluxua UDP bidez doa 1194ra, profileak TCP aukeratzen ez badu. Bi kasuetan kanpoko itxura tunel bat da, ez web eskaera bat.

Forma aldatzeko hiru modu zintzo

stunnel bezalako TLS amaitzaile batek TLS onartzen du mutur bakoitzean portu batean eta deszifratutako fluxua OpenVPN-i ematen dio lokalki, beraz sareak TLS ikusten du portu horretara. Lehen bytetik TLS den protokolo batek beste era batera jokatzen du: ocserv-ek inplementatzen duen AnyConnect-ekin bateragarria den elkartrukeak sare askok dagoeneko espero duten enpresako urruneko sarbidearen antza du. Windows-ekin datorren SSTP-k propietate bera du beste produktu batean.

Linuxen, SSH-ren -w aukerak puntutik-punturako esteka darama SSH saio baten barruan, eta hori erabilgarria da SSH baimendutako protokolo bakarra denean. Lauetatik merkeena da SSH sare horretatik jada badabil, eta erabilgarritasun gutxienekoa ez badabil.

Horietako inork ez duena aldatzen

Horietako batek ere ez du aldatzen tunelak zer harrapa dezakeen. Ez dute blokeatutako helbide bat irisgarri egiten, ez dute inor autentifikatzen eta ez dute ibilbiderik erabakitzen.

Bilgarri batek osagai bat ere kostatzen dizu. Bi entzule eta bi konfigurazio fitxategik hutsegiteko bi leku esan nahi dute, eta biak berdin ikusten dira erabiltzailearen eserlekutik. Aurreikusi hori bat hartu aurretik. Saioa helmuga bakarrera doan fluxu zifratu bakarra da oraindik, eta haren bolumena eta denbora ikusgai jarraitzen dute.

Egin diagnosia lehenengo, eta gero aukeratu

Beraz, egin diagnosia lehenengo. Baztertutako UDPari TCP moduak erantzuten dio, eta ezagututako sinadura bati beste protokolo edo bilgarri batek. Blokeoa jakin aurretik tresna bat aukeratzea da jendeak arrazoi beragatik huts egiten duten hiru geruza mantentzera iristen den modua.

Web portuak soilik baimentzen dituen sare batek aukera 443an TLS oinarritutako protokolo batera murrizten du. Hirurak batera aplikatzeak inork araztu ezin duen pila ematen dizu, beraz aldatu gauza bat eta probatu berriro fluxu bera.

Horietako bat ere ez bada aplikatzen, erantzun zehatza hau da: sare honek ez du zuretzat tunelik eramango. Hori aurkikuntza bat da, ez ahaleginaren porrota. Aukera gehiago zeharkatzeak ez du atzera botatzen gorago hartutako politika erabaki bat.

Muga bat dago horren guztiaren aurrean. Beste norbaiten sarean tunel bat exekutatzeko baimena politika kontua da, mekanismoak funtzionatzen duen ala ez kontuan hartu gabe erabakitzen dena. Gertaera hauek behatzaileak zer ikusten duen azaltzen dute, eta ez dute baimenik ematen.