Seachfhreastalaí SOCKS5 do OpenVPN: tollán TCP nó na haipeanna a sheachfhreastal?

Is iad na líonraí nach gceadaíonn ach amach trí sheachfhreastalaí an áit a bhfaigheann próifíl a bhí ag obair bás go tobann. Is é seoladh an tseachfhreastalaí an athróg is lú suime sa teip sin. Cinneann cruth an tráchta a sheolfaidh an seachfhreastalaí gach rud, mar seolann na seachfhreastalaithe seo sruth beart agus ní sruth den sórt sin é tollán UDP. Fágann sin dhá ailtireacht, agus briseann siad in áiteanna éagsúla.

Cinneann srian amháin an dearadh

Sonraíonn SOCKS5 mód comhlachais UDP go deimhin. Tá tacaíocht seachfhreastalaí an chliaint OpenVPN tógtha timpeall sruthanna mar sin féin: socks-proxy doiciméadaithe do phróifílí TCP, agus níl aon chonair datagram ag seachfhreastalaí HTTP CONNECT ar chor ar bith. Socraíonn líne amháin doiciméadúcháin an ailtireacht sula mbaineann tú le comhad cumraíochta.

Ní hé an cheist mar sin cé acu seachfhreastalaí le roghnú. Is é an cheist an ndéantar sruth den tollán, nó an bhfanann sé ina dhatagram agus an ligtear do rud éigin eile an seachfhreastalú a shú isteach.

Rogha A: déan sruth den tollán

Teastaíonn freastalaí le héisteoir TCP agus próifíl chliaint a ainmníonn an seachfhreastalaí chuige sin. Tá an dá phíosa riachtanach, agus is é taobh an fhreastalaí an ceann a ndéantar dearmad air:

proto tcp-client
remote vpn.example.net 443
socks-proxy 127.0.0.1 1080

Cuir an líne dheireanach in ionad http-proxy proxy.internal 8080 nuair a labhraíonn an seachfhreastalaí HTTP, agus cuir comhad dintiúirí leis má éilíonn sé ceann. Caithfidh an seachfhreastalaí a bheith sásta CONNECT a dhéanamh chuig do phort VPN, agus caithfidh an freastalaí freagra a thabhairt ar TCP; déanann éisteoir UDP amháin neamhaird den iarracht. Is beart praiticiúil é 443 a roghnú, mar cheadaíonn a lán líonraí sriantacha é agus beagán eile.

Is é an costas TCP carntha ar TCP. Stopann aon deighleog sheachtrach caillte gach sruth inmheánach a roinneann an nasc sin, mar sin déantar aisghabháil a bheadh neamhspleách de ghnáth ina roinnt. Tógann an socrú níos faide freisin, agus iompaíonn conair sheachtrach luaineach ina tollán luaineach seachas ina cheann mall.

Rogha B: fág an tollán i socair

Nuair a chaithfidh an tollán fanacht ar UDP, ní hé an tollán an áit a ndéanann tú aon rud a chumrú. Ina ionad sin atreoraítear TCP amach ó na haipeanna chuig éisteoir SOCKS áitiúil, agus ní fhoghlaimíonn na haipeanna go deo go bhfuil seachfhreastalaí ann. Ar Linux is gnách gurb é sin redsocks móide riail NAT REDIRECT sa tábla nat.

TCP amháin, arís. Ní féidir le seachfhreastalaí HTTP amháin ar nós privoxy prótacail treallach a sheoladh, agus ní chuireann an dearadh seo aon tacaíocht datagram leis do na haipeanna ach an oiread.

Is fearr de ghnáth insint go díreach do gach aip faoin seachfhreastalaí nuair a thacaíonn na bogearraí leis. Tá sé níos éasca é a iniúchadh, agus teipeann sé in áit ar féidir leat a fheiceáil i ndáiríre.

Cá dteipeann ar gach rogha

Teipeann Rogha A nuair nach bhfuil éisteoir TCP ag an bhfreastalaí, nuair a dhiúltaíonn an seachfhreastalaí don sprioc CONNECT, nó nuair a smachtbhannaítear an sruth seachtrach faoi bhun an méid a theastaíonn ón tollán. Fágann an chéad dá cheann iontráil i log an tseachfhreastalaí; fágann an tríú ceann nasc a bhunaítear agus a mhothaítear mícheart ina dhiaidh sin. Léigh an log sin sula ndéanann tú an phróifíl a chur in eagar, mar scarann sé fadhb ceada ó fhadhb acmhainne. Bogann CONNECT críochnaithe an t-imscrúdú isteach sa tollán.

Teipeann Rogha B ar aon rud a dteastaíonn datagram uaidh, ar phrótacail nach dtuigeann an seachfhreastalaí, agus go ciúin ar óstairí ina bhfuil an riail atreoraithe ann ach ina seolann an ródú an trácht thart uirthi.

Ní athraíonn ceachtar rogha an ceanglas gléis. Tá gá le nód TUN nó TAP fós ag paicéid sula ndéanfaidh an t-eithne iad a ródú, mar sin tá cead ag teastáil ón bpróiseas fós ar /dev/net/tun. Athraíonn fillteán an méid a tharlaíonn tar éis an nód sin a oscailt, ní cibé an bhfuil ceann uait.

Cruthaigh cén cosán a thóg tú

Féach ar shocóidí seachas ar dhealramh na tráidire. Ba cheart don phróiseas VPN nasc bunaithe a choinneáil leis an seoladh seachfhreastalaí, agus ba cheart don seachfhreastalaí an sprioc a iarradh air a shroicheadh a bheith logáilte aige:

ss -tnp | grep openvpn

Ansin sroich ceann scríbe nach féidir ach leis an tollán a fhreastal, agus ainm nach féidir ach le réiteoir an tolláin a fhreagairt. Ciallaíonn nasc seachfhreastalaí críochnaithe le tollán marbh de ghnáth nár thairg an taobh i bhfad i gcéin an t-iompar a ainmnítear i do phróifíl riamh.

Tabhair faoi deara an t-iompar agus an seachfhreastalaí glactha in áit mharthanach. Nuair a theipeann ar an bpróifíl chéanna ar líonra eile, fágfaidh nó deimhneoidh an nóta sin an seachfhreastalaí laistigh de shoicindí.