Ní nascann OpenVPN le Wi-Fi óstáin? Bain triail as TCP 443

Oscail an cliant, brúigh Ceangail, agus léigh an líne stádais seachas an dialóg a thagann ina diaidh. Próifíl a stopann ag Ceangal nó ag Fanacht le freastalaí tar éis líonra óstáin, campais nó móibíl, is iondúil go mbíonn a hiompar caillte áit éigin ar an mbealach, ní a dintiúirí. Is é an chéad chéim úsáideach eile a fháil amach cad a iompraíonn an líonra sin sula ndéanann tú rud ar bith ar an bhfreastalaí. Ná hathraigh rud ar bith go dtí go n-oibreoidh an phróifíl chéanna áit éigin eile.

Tástáil ó hotspot fóin ar dtús. Má éiríonn an tollán ansin, tá an freastalaí, an teastas agus an cuntas go léir ceart, agus is é an líonra atá romhat an t-aon athróg atá fágtha.

Tosaigh ag an gcliant: léigh an líne stádais

Insíonn an líne stádais duit cén chéim a theip. Cliant atá sáinnithe ag Ceangal tá sé fós ag réiteach an óstaigh nó ag oscailt an soicéid sheachtraigh; cliant a shroicheann Fanacht le freastalaí tá bealach aige ach níl aon fhreagra ann; cliant a dhéanann fíordheimhniú agus a thiteann ansin tá fadhb iomlán eile aige. Taispeánann loga an chliaint agus na réimsí remote agus proto atá sa phróifíl féin cad atá an cliant ag iarraidh a dhéanamh, agus priontálann --verb 4 ar chliant líne ordaithe an mhionsonra céanna. Is é an rud a dhéanann comparáid idir sin agus an líonra romhat ná an ráiteas ginearálta go bhfuil an VPN blocáilte a iompú ina éileamh sonrach.

Ansin déan an líonra a phromhadh le huirlisí atá agat cheana. Seolann nc -vzu 203.0.113.10 1194 datagram UDP, tuairiscíonn curl -v telnet://203.0.113.10:443 an gcríochnaíonn láimhseáil TCP, agus ní chruthaíonn brabhsálaí a lódálann leathanach HTTPS ach go sroicheann 443 amach an t-aon óstach sin. Freagraíonn promhadh beag an rud nach féidir leis an gcliant VPN a fhreagairt: cén port agus cén prótacal a fhágann an líonra seo ar chor ar bith.

Tá trí iompar líonra cosúil le chéile ó thaobh an chliaint de agus teastaíonn freagraí éagsúla orthu. D'fhéadfadh 443 amach a bheith oscailte, d'fhéadfadh nach gceadaítear ach seachfhreastalaí, nó d'fhéadfaí 443 a aistriú go trédhearcach chuig bosca iniúchta nach féidir leis an méid atá á iompar aige a léamh. Réitítear an chéad cheann leis an athrú próifíle thíos, an dara ceann le socruithe seachfhreastalaí, agus féadfaidh an tríú ceann láimhseáil a chríochnú agus ansin stopadh nuair a shocraíonn an t-iniúchóir nach dtaitníonn an sruth leis. Is é a bheith ar an eolas faoi cé acu den tríúr atá romhat an difríocht idir athrú deich nóiméad agus tráthnóna ag athshuiteáil cliant.

Bog an t-éisteoir agus an phróifíl le chéile

Ar thaobh an fhreastalaí, socraigh an t-éisteoir go dtí an rud a cheadaíonn an líonra: port 443 agus proto tcp i gcumraíocht an fhreastalaí, ansin atosaigh an tseirbhís agus deimhnigh an soicéad le ss -lntp. Ar thaobh an chliaint, caithfidh an phróifíl aontú, mar tá an t-iompar agus an port lasmuigh den tollán: proto tcp agus port 443 sa .ovpn, nó na réimsí comhfhreagracha i scáileán socruithe an aip. Teipeann próifíl a bhfuil UDP 1194 fós dírithe uirthi díreach mar a rinne sí cheana, agus is é an cathú ná an milleán a chur ar bhallóir dóiteáin atá deisithe cheana. Má fhreagraíonn an t-óstach céanna HTTPS ar 443 freisin, ní féidir leis an dá éisteoir an seoladh agus an prótacal sin a roinnt; tabhair an dara seoladh don VPN nó cuir dí-ilphléacsóir chun tosaigh.

Féach tríd an gcéad nasc le tcpdump -ni any port 443 ag an dá cheann. Ciallaíonn paicéid a fhágann an cliant agus nach sroicheann riamh go ndéanann an líonra scagadh tar éis an tsaoil, nó nach é an seoladh sa phróifíl an ceann a cheapann tú. Cuireann paicéid a shroicheann gan freagra ar ais chuig loga an fhreastalaí thú, áit a dtagann neamhréir phrótacail chun solais láithreach mar phaicéad caite.

Nuair nach n-éalaíonn ach seachfhreastalaí as an líonra

Ní cheadaíonn roinnt líonraí aoi rud ar bith ach seachfhreastalaí HTTP, sriantacht atá difriúil ó phort dúnta agus a chuireann níos mó ná OpenVPN as an áireamh. Níl aon bhealach ag cliaint nach labhraíonn ach PPTP, L2TP/IPsec nó IPsec lom trí cheann, mar tá na dearaí sin ag súil go sroichfidh a bprótacal seachtrach an freastalaí go díreach. Is féidir le OpenVPN é a dhéanamh, le http-proxy proxy.example.net 8080 i bpróifíl an chliaint, fad is a cheadaíonn an seachfhreastalaí an modh CONNECT chuig do phort. Tá seachfhreastalaí SOCKS níos éasca fós, mar aistríonn sé an sruth gan aird a thabhairt ar cad atá istigh ann.

Nuair nach bhfuil tacaíocht seachfhreastalaí ag an gcliant, is iondúil gurb é tollán SSH thar 443 an rud a fhanann. Cuireann sé dara sraith leis, agus b'fhéidir go mbeadh tuairim ag oibreoir an líonra faoi, mar sin caith leis mar dhroichead le haghaidh aistir amháin seachas mar ailtireacht.

Luach an chúltaca sula gcoinníonn tú é

Tá costas aitheanta ag TCP taobh istigh de TCP. Nuair atá an nasc seachtrach ina TCP agus an t-ualach ina TCP freisin, spreagann deighilt caillte athsheoladh ag an dá shraith, agus cúlaíonn an nasc istigh ó chailliúint nach féidir leis a fheiceáil. Maireann brabhsáil é sin; mothaíonn seisiúin idirghníomhacha agus glaonna é. Coinnigh an t-éisteoir TCP 443 mar chúltaca do líonraí a éilíonn é, agus fág UDP mar réamhshocrú do gach rud a thugann bealach dó fós.

Taifead an rogha in ainm na próifíle agus sna nótaí tacaíochta: cén port, cén prótacal, agus cén líonra a spreag é. Ansin fiafraigh de riarthóir an líonra an bhfanfaidh an port sin oscailte tar éis an chéad athnuachana trealaimh eile, mar tá cúltaca a imíonn go ciúin níos measa ná gan aon chúltaca ar chor ar bith.