Missä TLS istuu OpenVPN:n sisällä ja mikä muuttaa muotoa

OpenVPN todella käyttää TLS:ää, ja ihmiset laajentavat sen rutiininomaisesti väitteeksi, jota se ei kanna: että tunneli näyttää siksi selaimelta, joka vierailee sivustolla. Ensimmäinen osa on totta. Toinen ei. TLS kuuluu tässä ohjauskanavaan, joka kulkee OpenVPN:n oman säiliön sisällä, hyötykuormakanavan rinnalla, jonka salakirjoitus on täysin erilainen, joten kuka tahansa alkutavut tutkii, näkee OpenVPN:n.

Kaksi keskustelua yhdessä kirjekuoressa

Ajattele istuntoa kahdena keskusteluna, jotka jakavat yhden kirjekuoren. Toinen validoi varmenteet ja johtaa avainmateriaalin. Toinen salaa sen, mitä todella lähetät, käyttäen sitä, minkä ensimmäinen tuotti.

Kirjekuori on protokolla. Jokainen paketti alkaa pienellä otsikolla, joka nimeää sen tyypin, ja tämä otsikko saapuu ennen kaikkea muuta.

Mikä todella saapuu ensin

Tämän järjestyksen vuoksi ensimmäinen asia johdossa ei ole TLS-tietue. Se on OpenVPN:n otsikko, jota seuraa sen kanavan sisältö, jonka otsikko ilmoittaa. ClientHello on siellä, vain ei nollatavussa. Eron huomaamiseen ei tarvita salauksen purkamista, koska muoto yksin paljastaa sen.

Oletusarvot merkitsevät myös tässä. Virta kulkee UDP:nä porttiin 1194, ellei profiili valitse TCP:tä. Kummassakin tapauksessa ulkoinen ulkoasu on tunneli eikä verkkopyyntö.

Kolme rehellistä tapaa muuttaa muotoa

TLS-päätepiste kuten stunnel ottaa vastaan TLS:n portissa kummassakin päässä ja luovuttaa puretun virran OpenVPN:lle paikallisesti, joten verkko näkee TLS:n tuohon porttiin. Protokolla, joka on TLS:tä ensimmäisestä tavusta lähtien, käyttäytyy taas eri tavalla: ocservin toteuttama AnyConnect-yhteensopiva vaihto muistuttaa yritysten etäkäyttöä, jota monet verkot jo odottavat. Windowsin mukana tulevalla SSTP:llä on sama ominaisuus eri tuotteessa.

Linuxissa SSH:n -w-valitsin kuljettaa pisteestä pisteeseen -yhteyttä SSH-istunnon sisällä, mikä on hyödyllistä, kun SSH on ainoa sallittu protokolla. Se on neljästä halvin, jos SSH jo toimii kyseisestä verkosta, ja vähiten hyödyllinen, jos ei toimi.

Mitä mikään niistä ei muuta

Mikään näistä ei muuta sitä, mihin tunneli voi päästä. Ne eivät tee estetystä osoitteesta saavutettavaa, ne eivät todenna ketään eivätkä ne päätä reittejä.

Kääre maksaa sinulle myös yhden komponentin. Kaksi kuuntelijaa ja kaksi asetustiedostoa tarkoittavat kahta vikapaikkaa, ja molemmat näyttävät samalta käyttäjän istuimelta. Budjetoi se ennen kuin otat sellaisen käyttöön. Istunto pysyy yhtenä pitkäikäisenä salattuna virtana yhteen kohteeseen, ja sen määrä ja ajoitus pysyvät näkyvinä.

Diagnosoi ensin ja valitse sitten

Diagnosoi siis ensin. Pudotettuun UDP:hen vastaa TCP-tila, ja tunnistettuun allekirjoitukseen vastaa toinen protokolla tai kääre. Työkalun valinta ennen kuin tiedät eston on se, miten ihmiset päätyvät ylläpitämään kolmea kerrosta, jotka kaikki epäonnistuvat samasta syystä.

Verkko, joka sallii vain verkkoportit, rajaa valinnan TLS-pohjaiseen protokollaan portissa 443. Kaikkien kolmen soveltaminen kerralla antaa pinon, jota kukaan ei voi vianmäärittää, joten muuta yhtä asiaa ja testaa sama virta uudelleen.

Jos mikään ei päde, täsmällinen vastaus on, että tämä verkko ei kuljeta tunnelia sinulle. Se on havainto eikä yrityksen epäonnistuminen. Useampien vaihtoehtojen läpikäyminen ei kumoa ylempänä tehtyä linjapäätöstä.

Yksi raja seisoo kaiken tämän edessä. Lupa ajaa tunnelia jonkun toisen verkossa on linjakysymys, joka ratkaistaan erikseen siitä, toimiiko mekanismi. Nämä tosiasiat selittävät, mitä tarkkailija näkee, eivätkä ne anna lupaa.