VPN blocáilte ar líonra gréasáin amháin? Oibrigh na sraitheanna

Ní fadhb amháin é líonra campais nó óstáin ina n-oibríonn an brabhsálaí agus ina bhfaigheann gach tollán bás, ach ceithre cinn cruachta. Seans nach gceadaíonn an cosán ach TCP 443, go n-éilíonn sé seachfhreastalaí fíordheimhnithe, go ndéanann sé iniúchadh ar an gcroitheadh láimhe, nó go gcuireann sé cosc ar rochtain chianda de réir beartais. Má oibrítear iad in ord, seachnaítear client nua a cheannach chun riail líonra a shocrú. Tógann an treoir thíos timpeall deich nóiméad agus críochnaíonn sí le freagra scríofa ar cé acu sraith a dhiúltaigh duit.

Cruthaigh cé acu sraith a dhiúltaíonn an nasc

Ná tosaigh leis an client VPN. Tosaigh le hiarratas HTTPS simplí chuig an óstach céanna agus léigh na céimeanna ama, mar insíonn an chéim a theipeann cé an gléas atá freagrach:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Ciallaíonn gan freagra agus gan am connect nár críochnaíodh TCP riamh, mar sin tá balla dóiteáin, riachtanas seachfhreastalaí nó ceann scríbe mícheart i gceist. Ciallaíonn am connect gan am tls gur ghlac rud éigin sa lár leis an nasc agus gur stop sé an croitheadh láimhe ansin, agus sin é an chuma a bhíonn ar sheachfhreastalaí iniúchta ó thaobh an chliaint de.

Anois scrúdaigh an teastas a fhaigheann tú i ndáiríre. Is é seo an bealach is tapúla chun a fháil amach an bhfuil tú ag caint leis an bhfreastalaí nó le bosca idirmheánach a d’athshínigh an seisiún:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Léigh líne an eisitheora. Ciallaíonn do CA féin gur shroich tú an tseirbhís; ciallaíonn eisitheoir corparáideach nó gléis gur chuir scagaire deireadh leis an nasc agus go bhfuil sé ag cinneadh cad a tharlaíonn anois. Taifead an dá aschur le stampa ama, mar d’fhéadfadh an tástáil chéanna uair an chloig níos déanaí ar an líonra aíochta freagra difriúil a thabhairt.

Athraíonn client atá feasach ar sheachfhreastalaí an chéad phacáid, ní an beartas

Má éilíonn an líonra CONNECT trí sheachfhreastalaí fíordheimhnithe, caithfear é a rá leis an client VPN, nó déanfaidh sé iarracht soicéad a oscailt chuig seoladh nach féidir leis a ródú. Tástáil an seachfhreastalaí ar leithligh ón client, ionas go mbeadh míniú amháin ar theip:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Cruthaíonn an chéad ordú go n-iompróidh an seachfhreastalaí an ceann scríbe. Iarrann an dara ceann ar an client TCP a úsáid ar 443, an t-aon iompar a sheolfaidh formhór na gcosán gréasáin amháin ar aghaidh ar chor ar bith. Má éiríonn leis an gcéad ordú agus má theipeann ar an dara ceann fós, ní hé an seachfhreastalaí an bac.

Léann roinnt clientí seachfhreastalaí an chórais oibriúcháin in ionad sáraíochta, agus ní léann roinnt ceann ar bith acu. Seiceáil doiciméadú an fheidhmchláir féin sula ngabhfaidh tú leis go bhfuil feidhm ag socrú córais iomláin. Teipfidh ar chliaint a réitíonn an deireadhphointe trí réiteoir nach bhfreastalaíonn an seachfhreastalaí air anseo freisin, agus is ar an ábhar sin a fhéadfaidh athrú DNS breathnú mar réiteach nuair nach bhfuil ann ach timpeallán.

Tabhair faoi deara an patrún stiúrtha freisin. Is féidir le líonra scagtha freagra a thabhairt ar óstainm braite díoltóra le rud éigin dá chuid féin, rud a athraíonn cé acu próifíl seachfhreastalaí a roghnaíonn an client. Ná tóg próiseas timpeall ar an aisteach sin. Athraíonn sé ó shuíomh go suíomh, athraíonn sé gan fógra, agus ní rud é ar féidir leat tacú leis d’éinne eile.

Tá port 443 sroichte, ní ceadaithe

Réitíonn tollán a chumhdach le TLS ar 443 an tsroichteacht agus faic eile. Ligfidh scagaire a sheiceálann an port dó; ní ligfidh scagaire a thógann méarlorg an chroitheadh láimhe, agus ní cheiltíonn beannacht chliaint chriptithe ainm an fhreastalaí ach amháin nuair a thacaíonn an dá cheann léi. Rith an tástáil agus faigh amach cén cineál scagaire atá os do chomhair in ionad bheith ag súil.

Tá costas feidhmíochta ann freisin a fhaigheann daoine amach níos déanaí. Méadaíonn iompar iontaofa laistigh d’iompar iontaofa an caillteanas, mar athsheolann an cruachta inmheánach deighleoga a d’athsheol an cruachta seachtrach cheana. Ar nasc glan ní thugann éinne faoi deara. Ar líonra gan sreang campais atá plódaithe éiríonn an tollán dodhóite go díreach nuair a bhíonn sé uait, agus breathnaíonn an graf mar chaillteanas pacáidí cé nach bhfuil aon rud á chaitheamh amach d’aon ghnó.

Is gnách gurb é UDP an chéad íospartach, agus is fiú é sin a dheimhniú in ionad a bhaint amach. Mura gcríochnaíonn WireGuard ná OpenVPN réamhshocraithe croitheadh láimhe riamh agus TCP 443 ag obair, tá an líonra ag scaoileadh UDP, agus ní athróidh aon athghiniúint eochrach é sin:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Is é stampa ama folamh an chroitheadh láimhe in aice le piara a bhí ag obair inné an freagra UDP. Freagraíonn an dá cheist DNS ceist eile: má easaontaíonn an réiteoir áitiúil agus réiteoir poiblí faoi sheoladh an deireadhphointe, táthar do do stiúradh agus is é an argóint iompair an ceann mícheart.

Fíoraigh cad a d’fhág an meaisín i ndáiríre

Déanann logaí an chliaint cur síos ar a gcreideann an client. Déanann gabháil cur síos ar an méid a chonaic an líonra, agus is é an difríocht idir an dá rud an áit a réitítear formhór na gcásanna seo:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

Má fheiceann tú pacáidí SYN gan SYN-ACK, tá an bac suas an sruth agus tá an client neamhchiontach. Má fheiceann tú croitheadh láimhe críochnaithe chuig seoladh nach seoladh an fhreastalaí é, tá tú ag caint le seachfhreastalaí nó le hidircheapóir. Mura bhfeiceann tú faic, seiceáil gur ghabh tú ar an gcomhéadan ceart sula dtagann tú ar aon chonclúid.

Rugann liosta na soicéad ar chás níos caolchúisí: dara tollán a bhfuil an bealach réamhshocraithe aige cheana. Cruthaíonn beirt chliaint atá ag troid faoin tábla ródaithe teipeanna eatramhacha a bhreathnaíonn go díreach mar líonra blocáilte, agus taispeánfaidh an ghabháil trácht ag imeacht trí chomhéadan nár thug tú súil leis.

Aisiompú, agus an nóta is fiú a choimeád

Cealaigh na hathruithe san ord droim ar ais ón ord inar dhéan tú iad. Bain na hathróga seachfhreastalaí, stop an client a thosaigh tú de láimh, agus bain aon sáraíocht ród nó réiteora a chuir tú leis:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Is é an bealach a gcríochnaíonn ríomhaire glúine le líonra briste ar an gcéad chuairt eile ar an oifig ná client a tosaíodh de láimh a fhágáil ag rith. Bristear uirlisí neamhghaolmhara seachtainí níos déanaí le hathróga seachfhreastalaí a fhágtar i bpróifíl sliogáin, agus ní nascfaidh an duine a dhífhabhtaíonn iad an dá eachtra.

Ansin scríobh ceithre líne: an líonra, an stampa ama, an chéim a theip, agus an t-eisitheoir a chonaic tú. Is gnáth rud cosán a oibríonn ar champas amháin agus a theipeann ar an gcéad cheann eile, agus caithfidh an chéad duine eile a fháil amach an é an seachfhreastalaí, an réiteoir nó an scagaire a bhí sa difríocht. Más é an freagra ná go gcuireann an líonra cosc ar rochtain chianda, stop ansin agus iarr ar an riarthóir an bealach tacaíochta in ionad timpeallán a iompar isteach i mbeartas nár léigh tú.