Aon phointe deiridh VPN amháin trí Squid: eisceacht chaol CONNECT

Freagraíonn Squid iarratas CONNECT leis an gcéad líne http_access a mheaitseálann, agus féadfaidh an líne sin a bheith ina diúltú. Míníonn an t-aon fhíric seo cén fáth a dteipeann ar eisceacht do phointe deiridh VPN ar an gcéad iarracht de ghnáth, mar ní shroicheann an t-iarratas riamh an cead a chuir duine éigin leis ag an mbun. Coinníonn deisiú caol na gardaí poirt atá ann cheana agus múineann sé foinse, ceann scríbe agus port athbhreithnithe amháin dóibh. Iompraíonn gach rud eile ar an seachfhreastalaí go díreach mar a rinne sé roimhe.

Conas a shocraíonn Squid iarratas CONNECT

Ainmníonn iarratas CONNECT óstach agus port, agus siúlá Squid trí na línte http_access in ord go dtí go meaitseálann ceann acu. Cuireann diúltú meaitseálach deireadh leis an meastóireacht láithreach agus faigheann an cliant 403 ón seachfhreastalaí. Sin é an fáth a bhfuil níos mó tábhachta ag baint le suíomh rialach ná lena fhoclaíocht. Féadfaidh bogadh an líne chéanna céim amháin suas an toradh a athrú go hiomlán.

Diúltaíonn na gardaí coinbhinsiúnta do gach rud lasmuigh de Safe_ports agus diúltaíonn siad do CONNECT lasmuigh de SSL_ports. Is ACLanna iad na hainmneacha sin atá sainithe i do chumraíocht féin, mar sin is leatsa a n-inneachar seachas leis an bprótacal. Féadfaidh dáileadh raon leathan port a cheadú mar Safe_ports agus CONNECT a shrianadh ar leithligh. Léigh na luachanna beo sula ngabhann tú leis go bhfuil port blocáilte de réir dearaidh.

Deimhnigh gurb é an seachfhreastalaí an comhpháirt atá ag diúltú don iarratas. Ní fhéachann 403 a ghineann Squid ar chor ar bith cosúil le foláireamh TLS ó fhreastalaí VPN, agus cosnaíonn cumasc an dá rud in aon fhadhb amháin an chéad uair an chloig. Seiceáil líne an loga rochtana don iarratas, mar taifeadann sé an gníomh agus an riail a tháirg é araon.

Tóg aon mheaitseáil chomhcheangailte amháin in ionad trí ACL scaoilte

Tóg an eisceacht ó thrí fhíric: raon foinse ceadaithe, aon seoladh ceann scríbe ceadaithe agus an t-aon phort a éisteann an pointe deiridh air. Táirgeann dhá ACL scaoilte agus aon mheaitseáil chomhcheangailte amháin beartas an-difriúil, mar is é an meascán a dhéantar a mheas. Ainmnigh an ACL comhcheangailte as an rud a cheadaíonn sé, ní as an modh a iompraíonn sé.

Úsáideann an fhoirm thíos raonta doiciméadúcháin nach mór a mhalartú le luachanna athbhreithnithe. Ní chuireann Squid aon cheann de na hainmneacha seo in áirithe, mar sin is leatsa iad a roghnú agus is leatsa iad a choinneáil comhsheasmhach. Tá an t-oideas seo teoranta do Squid 6 agus 7, a dtacaíonn a gcumraíocht dhoiciméadaithe leis an ngrúpa all-of. Cuireann an tagairt reatha in iúl nach bhfuil na treoracha sin ar fáil i Squid 8, mar sin caith leis seo mar oideas atá teoranta do leagan seachas mar chonair aistrithe, agus seiceáil an treoir i dtagairt do leagain féin sula gcuireann tú i bhfeidhm é.

acl pvpn_src src 192.0.2.128/25
acl pvpn_dst dst 198.51.100.77/32
acl pvpn_port port 1194
acl pvpn_ok all-of CONNECT pvpn_port pvpn_dst pvpn_src

Ní mheaitseálann an grúpa all-of ach amháin nuair a mheaitseálann gach ball, rud a chiallaíonn go seiceáiltear foinse, ceann scríbe agus port ar aon líne amháin. Ní thugann an grúpa aon rud ann féin, agus ní féidir le hiarratas nach meaitseálann ach dhá cheann de na trí fhíric é a shásamh. Coinníonn an t-airí sin an eisceacht caol nuair a chuireann duine geata eile leis níos déanaí. Buailtear leis an gceann scríbe nua go toiliúil, nó filleann an t-iarratas ar na gardaí bunaidh.

Lúb na gardaí poirt gan iad a bhaint

Ag a suíomhanna reatha, seo mar a fhéachann an dá líne garda coinbhinsiúnta. Is gnách go suíonn siad i ndiaidh an fhíordheimhnithe agus roimh na línte beartais a cheadaíonn gach rud.

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

Cuir an mheaitseáil chomhcheangailte shéanta le gach ceann acu, ionas go maireann eisceacht mheaitseálach garda a dhiúltódh di murach sin. Ní athraíonn ach na línte garda, agus ní athraíonn siad ach le téarma breise amháin an ceann.

http_access deny CONNECT !SSL_ports !pvpn_ok
http_access deny !Safe_ports !pvpn_ok

Cumtar téarmaí ar aon líne rochtana le chéile, mar sin ní dhiúltaíonn an líne anois ach d’iarratais a theipeann ar an seiceáil bhunaidh agus ar an eisceacht araon. Éiríonn le hiarratas chuig an bpointe deiridh ceadaithe, agus coinníonn gach iarratas eile an sean-iompar poirt. Tá sé seo níos cúinge ná an port a chur le liosta SSL_ports domhanda, rud a cheadódh an port sin do gach ceann scríbe. Má tá an port sa liosta sin cheana, ní chúngaíonn an ACL seo aon rud agus tá feidhm fós ag an gcead níos sine agus níos leithne do chinn scríbe eile, mar sin léigh an liosta beo sula maíonn tú gur oscail an eisceacht an port. Tá sé inchúlaithe freisin, mar filleann dhá líne ar a bhfoirm roimhe seo. Déanann an tagairt rialaithe rochtana doiciméadú ar an ord agus ar na gardaí coinbhinsiúnta a bhfuil an t-athrú seo ag brath orthu.

Cá nach gceart an eisceacht a chur

Is é an cathú cead a chur os cionn na ngardaí agus bheith críochnaithe. Scipeálann an suíomh sin freisin na cosaintí fíordheimhnithe agus ceann scríbe áitiúil a bhíonn gar do bharr cumraíochta oibre de ghnáth. Ní heisceacht chaol an toradh, is poll é le trácht os a chionn. Coinnigh aon chead nua ag an gcéim athbhreithnithe chéanna le cuid eile de bheartas an chliaint.

Seiceáil cad a theastaíonn ón iarratas fós tar éis na ngardaí poirt. Tá feidhm fós ag cuntas fíordheimhnithe, ag seoladh cliaint ceadaithe agus ag beartas ceann scríbe, agus ní athraíonn an eisceacht aon cheann acu. Má ligeann do sheachfhreastalaí don chuntas ceadaithe teacht ar chinn scríbe treallacha cheana, níorbh é an garda poirt an fíor-rialú riamh.

Smaoinigh an bhfuil an pointe deiridh ina TCP ar chor ar bith. Iompraíonn eisceacht CONNECT sruthanna TCP, agus ní bheidh próifíl OpenVPN a úsáideann UDP inrochtana tríthi. Ná hathraigh an phróifíl go TCP ach amháin má éisteann an freastalaí mar sin agus má ghlacann an t-oibreoir leis an difríocht in iompar.

Seiceáil an teorainn leis an anailísí agus le fíoriarratas

Anailísigh an chumraíocht sula n-athluchtaíonn tú, agus coinnigh dara seisiún oscailte agus tú á dhéanamh. Féadfaidh earráid chomhréire ag am athluchtaithe an seachfhreastalaí a fhágáil ar an sean-chumraíocht nó an cheann nua a dhiúltú go hiomlán. Tuairiscíonn an t-anailísí an líne a diúltaíodh, rud is mó ná mar a inseoidh earráid an chliaint duit.

Ansin athluchtaigh agus seol aon iarratas CONNECT fíor tríd an seachfhreastalaí ó fhoinse cheadaithe. Tagann rith an anailísí ar dtús, mar ní mhúineann athluchtú le clóscríobhán duit faoin mbeartas.

squid -k parse
squid -k reconfigure
curl -v -p -x http://proxy.lab.internal:3128 https://vpn.lab.internal:1194/ --max-time 5

Tástáil trí chás: foinse agus cuntas ceadaithe, foinse neamhcheadaithe, agus ceann scríbe difriúil ar an bport céanna. Is é an tríú cás an ceann a chruthaíonn go bhfuil an eisceacht caol, mar fheidhmíonn sé an port gan an mheaitseáil ceann scríbe. Léigh an loga rochtana do na trí cinn in ionad muinín a chur i dteachtaireacht an chliaint. Bunaíonn CONNECT rathúil sruth TCP agus rud ar bith eile, mar sin fanann crannchur lámh VPN ina thástáil ar leithligh.