OpenVPN trí sheachfhreastalaí HTTP: léigh freagra CONNECT ar dtús
Aistríonn seachfhreastalaí CONNECT bearta, mar sin teastaíonn TCP ón dá cheann. Léigh 407, 403 agus 503 sula gcuireann tú an milleán ar na teastais, agus coinnigh fíorú an fhreastalaí ar siúl.
Treoraigh cliant VPN chuig seachfhreastalaí HTTP corparáideach, agus is é an chéad fhíric úsáideach nach bhfuil an seachfhreastalaí ag labhairt prótacal an VPN. Osclaíonn sé nasc TCP simplí chuig an seoladh a d’ainmnigh tú agus ansin seasann sé ar leataobh, rud a fhágann gur féidir le do chliant agus leis an bhfreastalaí a malartú féin a dhéanamh tríd an sruth sin. Caithfidh gach rud a theastaíonn ón gcliant, ón gcineál iompair go dtí éisteoir an fhreastalaí, teacht leis an socrú sin. Míníonn dhá mhíréir an chuid is mó de na teipeanna: próifíl UDP atá dírithe ar sheachfhreastalaí CONNECT, agus freagra seachfhreastalaí a thuigtear go mícheart mar earráid VPN.
Cad a iompraíonn an seachfhreastalaí, agus cad nach n-iompraíonn sé
Níl sa seachfhreastalaí ach céim iompair. Ní éiríonn sé ina sheachfhreastalaí do bhrabhsálaí, ní thaisceann sé na suíomhanna a dtugann tú cuairt orthu tríd an tollán, agus ní fheiceann sé an trácht istigh mura bhfuil cigireacht cumraithe go toiliúil ag duine éigin. Tá an tollán a osclaíonn sé doiléir dó de réir dearaidh.
Ciallaíonn sé sin freisin nach féidir leis an seachfhreastalaí freastalaí gan éisteoir comhoiriúnach a shocrú. Is dhá fhíric ar leith iad cead chun ceann scríbe a bhaint amach agus seirbhís a éisteann ar an gceann scríbe sin, agus ní bhaineann ach an chéad cheann le riarthóir an tseachfhreastalaí.
Caithfidh an t-iompróir a bheith ina TCP ag an dá cheann
Ní aistríonn seachfhreastalaí CONNECT traidisiúnta ach sruth beart , mar sin caithfidh an cliant iompar srutha a úsáid. Breathnaíonn blúire cliaint don chás sin mar seo:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128Teastaíonn éisteoir TCP fíor ó thaobh an fhreastalaí ar an bport a ainmnítear sa líne remote. Cruthaíonn athrú proto udp go proto tcp-client i bpróifíl cliant a bhfuiltear ag súil le sruth aige; ní chruthaíonn sé an sruth ar an taobh eile. Má fhreagraíonn an freastalaí céanna ar UDP freisin ar an bport sin, is éisteoir eile é sin, ní dara mód den chéanna.
Áit a bhfuil cás TCP ar leith ann, is acmhainní dá chuid féin a ghléas tolláin, a linn seoltaí agus a ródú. Má chóipeáil tú cumraíocht atá ag obair agus má athraíonn tú an focal iompair, fágfar na hacmhainní sin ag díriú ar an gcás bunaidh, rud a tháirgeann nasc a fhíoraíonn agus ansin nach ródálann aon rud.
Léigh freagra an tseachfhreastalaí roimh thoradh an VPN
Is é an chéad mhalartú ag an gcliant líne iarratais a ainmníonn óstach agus port an chinn scríbe. Insíonn an freagra ar an líne sin duit an bhfuil sruth beart ann ar chor ar bith, agus tagann sé sula seiceáiltear aon teastas nó aon dintiúir:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
Ciallaíonn freagra de chlas 200 ar CONNECT go bhfuil an sruth ann. Ní deir sé aon rud faoi cé acu an bhfuil teastas an gheata iontaofa, an bhfuil an eochair chomhroinnte ag teacht, nó an bhfuil cuntas an úsáideora bailí. Tarlaíonn na seiceálacha sin ina dhiaidh sin, laistigh den sruth, agus teipeann orthu le teachtaireachtaí an chliaint féin seachas le líne stádais HTTP. Lorg sa loga cliaint an chéad OpenVPN teagmhas tar éis an chroitheadh láimhe leis an seachfhreastalaí, ní an líne dheireanach sula ndúnadh an fhuinneog.
Is minic gur féiniúlachtaí éagsúla iad dintiúir an tseachfhreastalaí agus dintiúir an VPN atá ag foirne éagsúla. Ní hé 407 focal faire dona ar chuntas an VPN, agus ní fadhb ceada seachfhreastalaí é teastas a diúltaíodh.
Cad nach nochtann CONNECT
Ní éadáil é tollán CONNECT sainráite. Aistríonn an seachfhreastalaí bearta agus ní chríochnaíonn sé seisiún TLS an VPN, mar sin fanann fíorú theastas an fhreastalaí ag an gcliant fiúntach agus ba chóir é a choinneáil ar siúl. Réitíonn múchadh an fhíoraithe chun dul thar sheachfhreastalaí fadhb eile seachas an ceann atá agat.
Tá socruithe ar leith ann ina gcríochnaíonn agus ina scrúdaíonn eagraíocht TLS go toiliúil. Teastaíonn a gcumraíocht iontaobhais féin agus a mbreithiúnas beartais féin uathu, agus ní hé sin a iarrann gnáthlíne http-proxy.
Costas TCP taobh istigh de TCP
Coinníonn iompar an tolláin thar TCP an sruth seachtrach in ord agus le hatharchur, agus is gnách gur TCP freisin an trácht istigh. Ní dhéanann an dá mheicníocht aisghabhála comhordú, mar sin féadann aon deighleog amháin a cailleadh gach rud a roinneann an sruth seachtrach sin a stopadh go dtí go n-atharchuirtear é. Is fíor-mhalartú é seo ar son comhoiriúnachta, ní uasghrádú saor in aisce.
Úsáid cosán an tseachfhreastalaí nuair nach bhfágann an líonra aon rogha eile agat, agus b’fhearr leat cosán UDP díreach san áit a gceadaíonn beartas é. Ar aon chaoi, tar éis athraithe deimhnigh go sroicheann an seachfhreastalaí, an ceann scríbe agus an phróifíl chéanna an chéad chéim eile; ní dhéanann brabhsálaí a lódálann leathanach ag an seoladh sin ach prótacal eile a fheidhmiú agus ní chruthaíonn sé aon rud faoin tollán.