OpenVPN ar 443 fós blocáilte? Féach cad a scrúdaíonn an líonra

Ceanglaíonn an tollán ó líne baile agus stopann sé ar líonra óstáin nó oifige, agus níor athraigh bogadh an fhreastalaí go port 443 aon rud. Tá an toradh sin coitianta go leor chun cruth a bheith air: ba é an port an chuid éasca, agus baineann an chuid eile den chinneadh le gach aon rud atá idir an cliant agus an freastalaí. Réitíonn dhá cheist an chuid is mó de na cásanna, agus ní bhaineann ceachtar acu le sifear. An nglacann an líonra le croitheadh láimhe TLS chuig an seoladh sin, agus an gcoimeádann an cliant bealach chuig a fhillteán féin fad a bhíonn an tollán suas?

Nochtann an croitheadh láimhe níos mó ná an uimhir

Labhraíonn éisteoir VPN dúchais ar TCP 443 a phrótacal féin ón gcéad phaicéad. Tá réimse leagain, luach randamach agus liosta síntí ag ClientHello, agus is féidir le gléas a léann cúpla céad beart an difríocht a aithint gan aon rud a dhífhritháireamh. Is saor uimhreacha port a shásamh, agus is é cruth an phrótacail an rud a sheiceálann an scagaire i ndáiríre. Scríobhtar rialacha de ghnáth de réir prótacail freisin, mar sin ní deir polasaí a scrúdaíonn TLS aon rud faoi UDP.

Scaoiltear seachad ar an nasc le seachfhreastalaí trédhearcach a éilíonn seisiún TLS bailí le linn an tsocraithe, go minic tar éis chroitheadh láimhe TCP a bheith críochnaithe. Tá tábhacht leis an sonra sin níos déanaí, mar ciallaíonn sé go stopann logáil an chliaint tar éis an soicéad a bhunú.

Cruthaíonn fillteán an tsreafa dhá phointe teipe

Cuireann fillteán TLS ar nós stunnel an cruth a bhfuiltear ag súil leis ar ais: ceanglaíonn an cliant le héisteoir áitiúil, osclaíonn an fillteán fíor-seisiún TLS chuig an bhfreastalaí ar 443, agus seolann dara fillteán ar an bhfreastalaí na bearta dífhritháireamhaithe chuig an daemon VPN. Breathnaíonn an seisiún seachtrach anois cosúil le haon nasc HTTPS eile. Ba cheart don daemon VPN ar an bhfreastalaí éisteacht ar loopback amháin, mar ní gá d’aon rud lasmuigh den fhillteán é a shroicheadh.

Caithfidh trí rud ar leith teacht le chéile don dearadh sin. Díríonn próifíl an chliaint ar an éisteoir áitiúil, tagann teastas an fhreastalaí leis an ainm a fhíoraíonn an cliant, agus díríonn an t-aistriú ar thaobh an fhreastalaí ar an bport a úsáideann an daemon i ndáiríre. Déan dearmad ar aon cheann acu agus faigheann an nasc bás sula sroichtear an tsraith VPN. Ansin taispeántar neamhréir teastais mar earráid fhillteáin seachas mar earráid VPN, agus is fiú an dá logáil a léamh taobh le taobh dá bhrí sin.

Is é an bealach chuig an bhfillteán an gaiste

Nuair a éiríonn an tollán, díríonn an bealach réamhshocraithe isteach ann, agus teastaíonn bealach ón seisiún TLS seachtrach nach dtéann isteach sa tollán atá á iompar aige. Cosnaíonn cliant VPN simplí an seoladh a dhiaileálann sé; diaileálann cliant fillte a loopback féin, mar sin tá seoladh cinn scríbe an fhillteáin dofheicthe don chosaint sin.

sudo ip route add 198.51.100.20 via 192.168.0.1
sudo openvpn --config client.ovpn
sudo ip route del 198.51.100.20

Is tusa a líonann na seoltaí beachta, agus caithfidh an bealach a bheith ann ar feadh shaol iomlán an naisc, ní amháin ag an tús. Tá script fillteáin bheag a chuireann an bealach leis roimh an cliant agus a bhaineann de ina dhiaidh níos iontaofa ná ordú a choinnítear i gcuimhne.

Ar Android, is é comhionann an eisceacht sin socrú in aghaidh an aip: eisigh an aip fhillteáin ón tollán ionas go dtéann a trácht féin amach tríd an nasc móibíleach. Gan an eisiamh cuirtear an fillteán isteach sa tollán atá sé ag iarraidh a thógáil, agus breathnaíonn an lúb athnaisc cosúil le fadhb fhreastalaí.

Léigh an t-amú roimh athrú ar bith

Is síniú polasaí é seisiún a fhaigheann bás tar éis an eatraimh chéanna gach uair, ní teip chripteagrafach, agus cruthaíonn teorainneacha sreafa fadtéarmacha an patrún sin go beacht. Tugann nasc a athshocraítear díreach tar éis an chroitheadh láimhe le fios go raibh seachfhreastalaí ann nár thaitin an slabhra teastas leis.

Déan comparáid idir eisitheoir theastas suímh HTTPS rialta ón dá líonra. Má tá an t-eisitheoir difriúil ar an líonra srianta, tá rud éigin ag críochnú TLS sa lár, agus ní mhairfidh aon fhillteán an tascradh sin gan athrú. Insíonn an chomparáid chéanna duit an bhfuil an bloc ag díriú ar ainm do fhreastalaí nó ar gach seisiún TLS ag an seoladh sin.

Scríobh síos an iompar a breathnaíodh: cé chomh fada a mhair an seisiún, ar osclaíodh an soicéad, ar logáil an fillteán croitheadh láimhe. Cúngaíonn gach ceann acu an chéad tástáil eile.

Tástáil athróg amháin ag an am

Seiceáil UDP ar dtús, mar scaoileann roinnt líonraí seachad air go hiomlán agus ní deir teip UDP aon rud faoi 443. Ansin triail TCP 443 gan an fillteán, agus ansin an fillteán ar 443. Léigh logáil an chliaint ag gach céim agus stop a luaithe a athraíonn an t-iompar.

Athraigh gné amháin in aghaidh na trialach. Fágfaidh port nua, fillteán nua agus sifear nua sa rith chéanna thú gan ar chumas a rá cé acu den triúr a bhí tábhachtach.