Oibríonn OpenVPN sa bhaile ach ní ar aon líonra amháin: UDP nó TCP?

Ceanglaíonn an phróifíl chéanna ón mbaile agus stopann sí ar líonra óstáin, campais nó brainse. Níor athraigh na dintiúir, mar sin is é an t-athróg spéisiúil an cosán: cad a tharlaíonn do na paicéid sula OpenVPN léann sé iad. Is fearr ceithre chúis fhéideartha a chur i gcomparáid san ord inar féidir iad a thástáil ná buille faoi thuairim a thabhairt faoi dheimhniúcháin. Fágann gach ceann rianta difriúla, agus is é an rianta a dhealaíonn iad.

Insíonn an chéim ar theip uirthi cén chomparáid atá tábhachtach

Taifeadann log an chliaint cheana féin cé chomh fada agus a chuaigh tú. Ciallaíonn líne a deir nár tharla idirbheartaíocht eochrach TLS laistigh den teorainn ama gur imigh an chéad phaicéad agus nár tháinig aon rud inúsáidte ar ais, rud a dhíríonn ar an gcosán. Breathnaíonn diúltú deimhnithe go hiomlán difriúil: tagann freagra, ansin ainmníonn earráid fíorúcháin ar leith an chúis. Tabhair faoi deara an líne dheireanach roimh an lúb athiarrachta, mar sin é an luach a chuirfeá i gcomparáid idir líonraí.

Gabhadh agus tú ag athiarracht, ní ina dhiaidh. Ar an gcliant, taispeánann tcpdump -ni any udp port 1194 an dtagann aon fhreagra ar ais ar chor ar bith. Déan é a athdhéanamh ar chomhéadan WAN freastalaí a rialaíonn tú, rud a nochtann an sroicheann na paicéid sin an taobh i bhfad i gcéin ar chor ar bith.

Is é an trácht aon-thaobh an toradh is úsáidí atá ar fáil anseo, mar casann sé gearán uaireantach ina threo le himscrúdú. Coinnigh na comhaid ghabhála, mar is fusa an chéad tuarascáil eile faoin bhfadhb chéanna a dhúnadh le fianaise ná le cur síos.

Scagadh UDP i gcoinne calafoirt dúnta

Measann go leor líonraí rochtana go bhfuil UDP leanúnach amhrasach, agus aontaíonn roinnt soláthraithe leo. Táirgeann calafort dúnta an ciúnas céanna ó thaobh an chliaint de. Is é an difríocht ná roghnaíocht: bíonn scagaire claonta chun a bheith piocúil faoi na cinn scríbe nó na calafoirt a scaoileann sé, agus diúltaíonn calafort dúnta do gach rud atá dírithe ar an aon chalafort sin.

Is é próifíl TCP ar chalafort 443 an ghnáthbhealach timpeall, mar tá sé cosúil le sruth HTTPS gnáth agus téann sé trí fhormhór na dtairseach captive agus na scagairí eisithe. Caithfidh dhá choinníoll a bheith i bhfeidhm. Caithfidh an freastalaí éisteacht le proto tcp-server agus caithfidh an cliant teacht le proto tcp-client, agus caithfidh an t-oibreoir an pointe deiridh malartach sin a fhoilsiú. Ní shroicheann athscríobh próifíle UDP atá ag obair chun TCP 443 a mhaíomh aon áit nuair nach bhfuil éinne ag éisteacht ag an taobh eile.

Is fadhb chumraíochta é calafort dúnta seachas fadhb chinsireachta. Teastaíonn ó fhreastalaí atá taobh thiar de ródaire baile a chalafort UDP a chur ar aghaidh, agus caithfidh balla dóiteáin an ródaire é a cheadú. Nuair nár ceadaíodh an calafort riamh, teipeann ar gach cliant ag an idirbheartaíocht beag beann ar na dintiúir, agus leanann an teip an freastalaí seachas an líonra.

Déantar droch-chomparáid ar na prótacail níos sine ar an ais seo. Teastaíonn TCP 1723 móide GRE ó PPTP, agus is prótacal IP 47 é GRE seachas calafort, mar sin ní chuireann aon aistriú calafoirt gnáth in iúl é.

Nuair is é an lasc a scaoileann paicéid

Is féidir le lasc bainistithe an tollán a scaoileadh d’aon ghnó. Nochtann roinnt múnlaí HPE agus Aruba rialtán cosanta tuile UDP, uaireanta lipéadaithe Prevent UDP Blat Attack, ina rannóg slándála chun cinn. Nuair a bhíonn an rialtán sin gníomhach, ní fhreagraíonn freastalaí atá taobh thiar den lasc aon rud agus téann gach cliant in éag ar an mbealach céanna. Is é a mhúchadh agus an chumraíocht reatha a shábháil an deisiú ar fad, ach amháin tar éis duit a shuíomh go bhfuil an lasc ar an gcosán i ndáiríre.

Is í an fhianaise fhrithbheartach a dhealaíonn scaoileadh lasc ó bhac soláthraí. Léigh na cuntair chomhéadain agus an log cosanta tuile sula n-osclaíonn tú ticéad leis an ISP. Teipeann ar ródairí tomhaltóra a bhfuil cosaint DoS nó tuile acu ar an mbealach céanna, agus mar an gcéanna ar aon mheánbhosca a bhfuil teorainn ama díomhaoin UDP ghearr aige. Tugann croitheadh lámh nach gcríochnaíonn riamh le fios go bhfuil scaoileadh ann, agus tugann tollán a fhaigheann bás tar éis nóiméad de chiúnas le fios go bhfuil an teorainn ama ann.

Scríobh síos gach gléas idir an cliant agus an freastalaí sula n-athraíonn tú próifíl. Breathnaíonn deisiú a chuirtear i bhfeidhm ar an gciseal mícheart ceart go dtí an chéad líonra eile. Insíonn an liosta sin don chéad innealtóir eile cá bhféachadh gan an t-imscrúdú ar fad a athdhéanamh.

Forluí seoltaí a bhfuil cuma teipe DNS air

Is féidir le líonra rochtana atá uimhrithe laistigh de 10.0.0.0/8 forluí le linn snámha an tolláin, agus maireann an réititheoir laistigh den linn sin de ghnáth. Nuair a fhaigheann ríomhaire glúine seoladh mar 10.184.178.50 le masc /8 ar Wi-Fi, tá gach ceann scríbe 10.x áitiúil de réir sainmhínithe. Téann paicéid do 10.4.0.1 ansin chuig an LAN, fanann an tollán suas, agus teipeann ar réiteach ainmneacha.

Nochtann ip addr an forluí ar an gcéad amharc, agus taispeánann ip route get 10.4.0.1 cá dtabharfaí an paicéad i ndáiríre. Ós rud é gurb é an tsiomptóm infheicthe teip an réititheora, maireann an cás seo go minic trí roinnt babhtaí athruithe DNS.

Athuimhrigh an linn nó coinnigh an líonra rochtana sin lasmuigh den raon feidhme. Ní thagann aon socrú ar thaobh an chliaint slán ó fhorluí.

Cinneadh idir TCP cúltaca agus deisiú cosáin

Roghnaigh an TCP cúltaca nuair nach rialaíonn tú an cosán agus go gcaithfidh úsáideoirí oibriú inniu, agus glac lena chostais: iompraíonn TCP laistigh de TCP go dona ar naisc a bhfuil caillteanas iontu, agus teastaíonn éisteoir a oibríonn tú féin ón gcúltaca. Roghnaigh deisiú an chosáin nuair a bhíonn an bac ar bhonneagar ar leatsa é, mar tá riail balla dóiteáin níos saoire ná an dara héisteoir. Cibé bealach, téigh trí na ciseal in ord: nasc, iompar seachtrach, idirbheartaíocht, ródú inmheánach. Is é an chéim a theip ar an líonra sin an t-aon fhíric atá tábhachtach.

Taifead an toradh de réir líonra seachas de réir úsáideora. Tosaíonn an chéad tuarascáil eile faoin teip chéanna ansin ó chéim aitheanta in ionad ó theoiric deimhnithe. Is é an taifead sin freisin a thugann údar le dara héisteoir buan, má bhíonn gá riamh leis.