Wêr’t TLS yn OpenVPN sit, en wat de foarm feroaret
OpenVPN lit TLS foar syn kontrôlekanaal binnen syn eigen ramt rinne, dus de earste bytes binne gjin web-hânrekking. Trije opsjes feroarje wol wat sjoen wurdt.
OpenVPN brûkt yndie TLS, en minsken wreidzje dat geregeld út ta in bewearing dy’t it net drage kin: dat in tunnel dêrtroch op in browser liket dy’t in side besiket. It earste diel is wier. It twadde net. TLS heart hjir by in kontrôlekanaal dat binnen OpenVPN syn eigen container reizget, njonken in ladingskanaal mei hiel oare kryptografy, sadat wa’t de iepeningsbytes besjocht, OpenVPN sjocht.
Twa petearen yn ien omhulsel
Tink oan in sesje as twa petearen dy’t ien omhulsel diele. Ien falidearret sertifikaten en liedt kaaimateriaal ôf. De oare fersiferet wat jo eins stjoere, mei wat de earste oplope hat.
It omhulsel is it protokoll. Elk pakket begjint mei in lytse kop dy’t syn type neamt, en dy kop komt foar al it oare.
Wat eins it earst oankomt
Troch dy oardering is it earste ding op ’e tried gjin TLS-record. It is de kop fan OpenVPN, folge troch de ynhâld fan hokker kanaal de kop ek oankundiget. In ClientHello bestiet dêryn, allinnich net by byte nul. Gjin ûntsifering is nedich om it ferskil te fernimmen, want de foarm allinnich ferriedt it.
Standertwearden telle hjir ek. De stream is UDP nei 1194, útsein as it profyl TCP kiest. Yn beide gefallen is it úterlik oansjen in tunnel yn stee fan in webfersyk.
Trije earlike manieren om de foarm te feroarjen
In TLS-terminator lykas stunnel nimt TLS oan op in poarte oan elke kant en jout de ûntsifere stream lokaal oan OpenVPN, sadat it netwurk TLS nei dy poarte sjocht. In protokoll dat fan ’e earste byte ôf TLS is, hâldt him wer oars: de AnyConnect-kompatibele útwikseling dy’t ocserv ymplemintearret, liket op ’e korporative tagong op ôfstân dy’t in protte netwurken al ferwachtsje. SSTP, dat mei Windows komt, hat deselde eigenskip yn in oar produkt.
Op Linux draacht SSH syn -w-opsje in punt-nei-punt-ferbining binnen in SSH-sesje, wat nuttich is as SSH it iennichste tastiene protokoll is. It is de goedkeapste fan ’e fjouwer as SSH al fan dat netwurk ôf wurket, en de minst nuttige as dat net sa is.
Wat net ien fan harren feroaret
Net ien fan dizze feroaret wat de tunnel berikke kin. Se meitsje in blokkearre adres net berikber, se ferifiearje nimmen, en se beslute gjin rûtes.
In omskot kostet jo ek in komponint. Twa harkers en twa konfiguraasjebestannen betsjutte twa plakken foar in flater, en beide lykje identyk fan ’e sit fan ’e brûker ôf. Budgettearje dêrfoar foardat jo ien oannimme. De sesje bliuwt ien lange fersifere stream nei ien bestimming, en syn folume en timing bliuwe sichtber.
Diagnostisearje earst, kies dan
Diagnostisearje dus earst. Ferlern UDP wurdt beäntwurde troch TCP-modus, en in werkenbere hantekening wurdt beäntwurde troch in oar protokoll of in omskot. It kiezen fan in ynstrumint foardat jo de blokkade kenne, is hoe’t minsken úteinlik trije lagen ûnderhâlde dy’t allegear om deselde reden misse.
In netwurk dat allinnich webpoarten tastiet, fernauet de kar ta in TLS-basearre protokoll op 443. Alle trije tagelyk tapasse jout in stapel dy’t nimmen ûntbuge kin, dus feroarje ien ding en test itselde stream wer.
As net ien fan tapassing is, is it krekte antwurd dat dit netwurk gjin tunnel foar jo drage sil. Dat is in befinning yn stee fan in mislearring fan ynspanning. Troch mear opsjes te riden wurdt in beliedsbeslút dat boppe nommen is net weromdraaid.
Ien grins stiet foar dit alles. Tastimming om in tunnel op it netwurk fan in oar rinne te litten is in beliedssaak, los besletten fan of it meganisme funksjonearret. Dizze feiten ferklearje wat in waarnimmer sjocht, en se jouwe gjin tastimming.