Teipeann próifíl atá faoi ghlas don fhreastalaí taobh thiar de sheachfhreastalaí TLS: cén ghlúin?

Is féidir le húsáideoir amháin nascadh agus ní féidir le húsáideoir eile, tríd an tairseach chéanna, ar an lá céanna. Tá próifílí faoi ghlas don fhreastalaí ag an mbeirt, tá an bheirt ar an mbuild céanna de Access Server, agus is é an t-aon difríocht ná cathain a gineadh a bpróifíl. Sin an patrún ar fiú é a aithint, mar is polasaí atá i gceist le "faoi ghlas don fhreastalaí", ní seicheamh naisc. Tá dhá ghlúin den déantán sin seachadta ag Access Server, agus níl seachfhreastalaí droim ar ais TLS os comhair ach ceann dá gcosáin. Cinneann trí choinníoll cén brainse ina bhfuil tú.

Dhá ghlúin, dhá sheicheamh naisc

Sa dearadh níos sine, atá i bhfeidhm go dtí 2.8, is próifíl bhréige é an comhad a allmhairítear. Úsáideann OpenVPN Connect é chun fíordheimhniú a dhéanamh in aghaidh API gréasáin Access Server thar HTTPS, faigheann sé próifíl shealadach atá faoi ghlas don úsáideoir agus comhartha seisiúin, agus ní bhunaíonn sé an VPN go dtí sin. Ritheann dhá iompróir in ord, agus is iarratas gréasáin nósmhar an chéad cheann.

Ní dhéanann an fhormáid a tugadh isteach le 2.9 an tosú sin in aghaidh an naisc. Is próifíl dhúchasach í ar féidir le OpenVPN cliaint chomhoiriúnacha í a úsáid, ní hamháin OpenVPN Connect. Féadfaidh íoslódáil nó allmhairiú trí URL HTTPS a bheith i gceist fós — is céim fhoilsithe é sin, ní fháil próifíle shealadaí in aghaidh an naisc.

Ní athscríobhann uasghrádú próifílí a eisíodh cheana de riachtanas, mar sin féadfaidh leagan reatha freastalaí an seandéantán a dháileadh fós. Insíonn build an fhreastalaí duit cad atá indéanta, ní cad a allmhairigh an t-úsáideoir seo.

Trí choinníoll a roghnaíonn do bhrainse

Is é an chéad choinníoll glúin an déantáin. Iarr an comhad, féach conas a táirgeadh é, agus tabhair faoi deara leagan an chliaint a allmhairigh é. Mura féidir leat an ghlúin a shuíomh ón gcomhad, inseoidh próifíl nua a eisíodh do chuntas tástála duit cad a tháirgeann an freastalaí inniu, agus is faisnéis dhifriúil é sin ón méid atá ag an úsáideoir a bhfuil teip air.

Is é an dara ceann cad a chríochnaíonn d'achar tosaigh i ndáiríre. Ní hé an rud céanna é seachfhreastalaí droim ar ais HTTP de chiseal a seacht a dhíluchtaíonn TLS agus aistritheoir TCP de chiseal a ceathair, agus ní hea aistritheoir UDP ach an oiread. Cuireann gnáthshocrú Access Server ar phort 443 ar an daemon OpenVPN TCP trácht an bhrabhsálaí a aithint agus é a thabhairt do na seirbhísí gréasáin, mar sin ní chaomhnaíonn cur isteach críochneora HTTPS neamhghaolmhar chun tosaigh láimhseáil prótacail an daemon sin. Ní dhéanann comhroinnt an uimhir 443 dhá dhearadh coibhéiseach.

Is é an tríú ceann cá dtiteann an teip. Breathnaíonn teip roimh an VPN agus teip sa chainéal rialaithe cosúil lena chéile i gcliant nach ndeir ach "ag nascadh", ach fágann siad fianaise in áiteanna éagsúla. Má tá an tseanfhormáid i bhfeidhm, is iarrthóir é an tosú. Má tá an fhormáid nua i bhfeidhm, tá log rochtana gréasáin folamh le súil agus ní chruthaíonn sé aon rud i gceachtar treo.

Nuair atá an déantán sean: teipeann an tosú ar dtús

Léigh an earráid iarbhír ón gcliant seachas a staid dheiridh. Is iad na réimsí suimiúla an earráid HTTPS, céannacht an fhreastalaí a raibh súil ag an gcliant léi, an ceann scríbe ar thug an t-iarratas air, agus ar críochnaíodh bailíochtú an teastais. Ansin cuir iad i gcomparáid le logaí na seirbhíse gréasáin agus an tseachfhreastalaí ar thaobh an fhreastalaí.

Ní cruthúnas é go sroicheann brabhsálaí an leathanach logála isteach go n-éirigh le fíordheimhniú API an chliaint seo. Iarratais éagsúla iad, le hionchais teastais éagsúla agus go minic le hainmneacha óstach éagsúla. Má sheirbheáiltear an tairseach i gceart agus má theipeann ar an gcliant fós, tá an easaontas sa chosán tosaithe, ní i bhfocal faire an úsáideora.

Ná déan an chomparáid a rith trí fhíorú TLS a mhúchadh nó trí pholasaí fíordheimhnithe a scaoileadh. Athraíonn sé sin mí-oiriúnacht chumraíochta is féidir a dhiagnóisiú ina cosán a oibríonn ach nach bhfuil fíoraithe, agus is é go díreach an t-athrú sin a dhéanann tástáil shealadach de pholl buan. An doiciméadacht Access Server ar phróifílí naisc a chuireann síos ar an dá ghlúin agus ar shreabhadh na próifíle sealadaí, agus is í an tagairt le seiceáil sula ngabhann tú leis go bhfuil seachfhreastalaí ciontach.

Nuair atá an déantán nua: léigh an chainéal rialaithe ina ionad

Le próifíl ar stíl 2.9, téann an cliant go díreach chuig críochphointe dúchasach an VPN. Scrúdaigh na críochphointí sa phróifíl, an t-iompróir atá in úsáid, agus earráid an chainéil rialaithe. Mura n-eisíonn an cliant iarratas HTTP riamh, tá sin ag teacht leis an dearadh agus ní hairíocht é.

Seo freisin a athraíonn ceist an tseachfhreastalaí a cruth. Ní féidir le díluchtú HTTPS sruth atá ina TCP amháin a bhriseadh nach bhfeiceann sé riamh, ach is féidir leis an íoslódáil a fhoilsíonn an phróifíl a bhriseadh fós, agus ní iompraíonn aistritheoir TCP amháin UDP ar chor ar bith. Seiceáil cén t-iompróir a iarrann an phróifíl sula gconclúidíonn tú go bhfuil an t-achar tosaigh neamhábhartha.

Is socrú cúng é passthrough TLS le haghaidh aon srutha amháin. Ní sholáthraíonn sé aistriú UDP, agus ní atáirgeann sé iompar aistrithe seirbhíse an daemon féin ar 443. Má dhéanann d'achar tosaigh ceann de na rudaí sin, abair cé acu, mar tá an leigheas difriúil.

Leigheasanna a fhanann cúng

Is é an seiceáil is lú cur isteach ná próifíl nua thacaithe a ghiniúint do chuntas tástála agus nascadh tríd an gcríochphointe dúchasach beartaithe leis na riachtanais fhíordheimhnithe chéanna. Má oibríonn sé sin agus mura n-oibríonn an tseanphróifíl a choinnítear, tá an déantán scartha agat ón bhfreastalaí agus ón seachfhreastalaí in aon chéim amháin.

Dáileadh próifíle atá faoi ghlas don úsáideoir a bhaineann an spleáchas ar an tosú oidhreachta go hiomlán, mar níl aon mhalartú próifíle sealadaí ann a d'fhéadfadh teip. Caithfear é a eisiúint don úsáideoir beartaithe, ní cóipeáil ó riarthóir riamh, agus athraíonn sé an rud a bhfuil an cliant údaraithe a dhéanamh, mar sin caith leis mar chinneadh polasaí agus ní mar sheift.

Ansin deisigh leagan amach an fhoilsithe ionas go mbeidh gach cosán riachtanach ann: an cosán gréasáin le haghaidh íoslódálacha agus úsáid na tairsí, agus an cosán VPN dúchasach ar an iompróir a bhfuil súil ag na próifílí leis. Coinnigh obair an tseachfhreastalaí ar aon chiseal amháin. Cruthaíonn tollán atá faoi ghlas don úsáideoir agus atá ag obair go n-oibríonn an cosán sin; ní chruthaíonn sé go dtacaíonn gach socrú seachfhreastalaí le gach glúin, agus ní dhaorann teip tosaithe shean an fhormáid níos nuaí.

• Aithin glúin an déantáin sula dtéann tú i dteagmháil leis an seachfhreastalaí.
• Socraigh an dtarlaíonn an teip roimh an tollán nó istigh ann.
• Deimhnigh cad a chríochnaíonn an t-achar tosaigh: HTTP, sruth TCP, nó UDP.
• Tástáil próifíl nua-eisithe in aghaidh an chríochphointe dhúchasaigh le polasaí gan athrú.