Peer-adres feroare midden yn 'e sesje: wat OpenVPN float docht

De laptop giet fan kantoar-Wi-Fi nei in hotspot fan in telefoan, de tunnel bliuwt noch in pear sekonden oerein, en dan stiet it ferkear stil wylst de ynterface noch hieltyd beweart dat er ferbûn is. Op de tsjinner lit de statuslist noch hieltyd it âlde iepenbiere adres sjen. Dat is de situaasje dêr't float foar bestiet, en it is ek de situaasje dêr't minsken folle mear fan ferwachtsje as it docht. It grinsgefal goed krije makket fan in betiizjend stilstean itsij in konfiguraasjeferoaring fan ien rigel, itsij in folslein oar ûndersyk.

Wat float fersoepet, en wat it nea fersoepet

Normaalwei bliuwt in sesje praten mei it bûtenadres en de poarte dêr't er mei begûn is, en pakketten dy't fan earne oars komme, wurde negearre. De opsje float hellet dy strikte bining fuort sadree't de peer himsels al bewiisd hat, sadat in feroare boarnemapping deselde sesje fuortsette kin ynstee fan fuortsmitten te wurden. Oan de kryptografyske kontrôles feroaret neat: kaaien, sertifikaten en hokker HMAC-beskerming dan ek bliuwe krekt sa't se konfigurearre binne.

It is in beslút per pakket, gjin belied oer wa't ferbine mei. In ûnbekende masine dy't in pakket fan in nij adres stjoert, hat neat bewiisd, en syn pakket wurdt fuortsmiten lykas alle oare net-autentisearre ferkear. Allinnich ferkear dat de eigen autentikaasje fan 'e sesje trochkomt, kin it fêstleine peer-adres ferpleatse, en dêrom is it feilich om float oan te litten yn omjouwings dêr't kliïnten omrinne.

It seit ek neat oer de binnentunnel. In ferpleatst bûtenadres wiist gjin tunneladres opnij ta, feroaret de pool net en jout de peer gjin tagong ta eat nijs. Binnen de tunnel jilde deselde identiteit en deselde treaune rûtes foar en nei de ferpleatsing. In omrin ûnderhannelt ek it datakanaal net opnij, dus de ûnderhannele syfer en kaaien geane troch.

It pakket dat in sesje ferpleatst, moat autentisearje

Begjin in sesje op 'e gewoane manier tsjin de konfigurearre fiere kant, en float behannelt wat der bart as de mapping feroaret. In mobile operator dy't midden yn 'e stream ommeret, in NAT-gateway dy't syn poartemapping weromskriuwt, of in laptop dy't fan uplink wikselt, jouwe allegear deselde foarm: autentisearre pakketten fan in nije tuple, dy't oankomme by in sesje dy't noch yn 'e âlde leaut.

As frege wurdt oft float wurket, is it nuttige bewiis in foltôge hânskodding folge troch in akseptearre boarneferoaring, net in logrigel oer it adres allinnich. Korrellearje de âlde en nije bûtenadressen mei de sesje dy't libben bleau, en befêstigje dan dat it ferkear wier troch de tunnel trochgie.

As de sesje stjert ynstee fan te ferpleatsen, hat it pakket dat fan it nije adres oankaam wierskynlik mislearre by autentikaasje of is hielendal net oankaam. Beide gefallen sjogge fan 'e klient ôf identyk út. Op de tsjinner fertelt in opname op 'e iepenbiere ynterface dy hokker fan beide do hast, foardatst oan hokker konfiguraasje dan ek komst.

Untdekking is in folslein apart meganisme

float lost gjin nammen op in timer op en folget gjin dynamysk DNS-record. As de hostnamme fan 'e tsjinner begjint op te lossen nei in nij adres, hat in idle klient gjin reden om dat te merken en gjin pakket fan it nije einpunt om te autentisearjen. Dat probleem heart by werferbining, by it eigen opnij-probeegedrach fan 'e klient en by DNS, net by float.

De opsje noch in kear tafoegje kin net kompensearje foar gjin rûte nei it nije adres. It kin ek net helpe as de peer stil is, want in stille peer stjoert nea it autentisearre pakket dat eat ferpleatse soe.

De ûnderlizzende firewall hat ek in stim. In regel dy't allinnich it âlde bûteneinpunt talit, blokket it feroare adres foardat OpenVPN it ea sjocht, en gjin ienige kliïntkonfiguraasje makket dat goed. Besjoch de libbenssyklus fan tastiene adressen as in eigen taak; de regel ferbreedzje nei hokker boarne dan ek ruilet in lyts probleem foar in grut.

As NetworkManager it profyl besit

In kommandorigelprofyl en in ymportearre ferbining binne aparte konfiguraasjes, en it iene bewurkje rekket it oare net. Foardatst oannimst dat de opsje net stipe wurdt, moatst fêststelle hokker type plugin it bewarre profyl eins brûkt en wêr't syn wearden libje. De UUID fan it profyl is de identifier dy't fan belang is as do eat ynspektearrest of feroarest.

Ynspektearje de bewarre ferbining ynstee fan it orizjinele ymportbestân. In rigel dy't yn in .ovpn-bestân oerlibbet, bewiist neat as de aktive behearder him nea tapast hat, en in bewurker sûnder fekje foar in opjûne opsje bewiist ek neat oer de mooglikheden fan it protokol.

Patch in ferpakt plugin net om it gedrach ta te foegjen, benammen net mei in diff skreaun foar in histoaryske ferzje fan in net-relatearre komponint. As de ynstallearre yntegraasje de ynstelling wier net útdrukke kin, is de goede set in stipe profyl of in oar klientpaad dat goedkard is troch wa't de útrôl besit.

Bewiisje de oergong ynstee fan him oan te nimmen

Run de test sa't de flater bart. Ferbine, ferifiearje ferkear troch de tunnel, twing it bûtenadres te feroarjen, en kontrolearje dan trije dingen: de sesje bestiet noch, it fêstleine peer-adres is ferpleatst, en in echt fersyk berikt noch syn bestimming. Alles minder as alle trije is in dielantwurd.

Hâld wersteltoegong beskikber wylst do testest, want omrinseksperiminten hawwe de gewoante om de masine dêr'tst fan wurkest strâne te litten. In seriale console of in bûtenbânrûte makket fan in mislearre test in werstel fan fiif minuten ynstee fan in besite op lokaasje.

Beslis, beskriuw allinnich it gefal datst útoefene hast. In suksesfolle adresferoaring yn in sesje is gjin bewiis dat DNS-migraasjes, in oare klientymplemintearring of in weropboude profyl itselde sille dwaan. De link-options-dokumintaasje jout it berik fan 'e opsje krekt oan; dyn testlog moat sizze hokker part fan dat berik do wier dekt hast.