OpenVPN agus HTTPS ar phort 443: cé a shealbhaíonn an t-éisteoir?

Is féidir le dhá sheirbhís freagra a thabhairt ar phort 443 araon gan iomaíocht riamh, mar socraítear éisteoir de réir iompair, seolta agus poirt le chéile, ní de réir an uimhreach amháin. Cuir freastalaí gréasáin agus OpenVPN ar aon mheaisín amháin, agus is é an t-aon cheist ar fiú freagra a thabhairt uirthi ar dtús ná cén soicéad a iarrann gach próiseas ar an eithne. Scríobh an liosta sin síos sula ndéanann tú cumraíocht a chur in eagar, agus míneoidh an chuid is mó de na hearráidí «seoladh in úsáid cheana» iad féin. Is rogha idir éisteoir UDP, soicéad TCP roinnte nó tosach a dhéanann ródú de réir prótacail gach rud a thagann tar éis an liosta.

Tosaigh leis an soicéad a iarrann gach próiseas

Éiríonn le bind nó teipeann sé ar an triúr sin, mar sin ní bhíonn achrann idir dhá dhaemon ach amháin nuair a thagann na trí chuid le chéile. Sin é an fáth a gcomhnaíonn suíomh gréasáin ar TCP 443 go deo le héisteoir OpenVPN ar UDP 443, agus sin é an fáth a gcuireann sé deireadh leis an díospóireacht freisin ceann acu a bhogadh go dtí an dara seoladh áitiúil ar an óstach céanna. Léigh na héisteoirí beo seachas na comhaid a bhí leo a chruthú, mar maireann include sean nó comhad aonaid dearmadta níos faide ná an eagarthóireacht a mbíonn cuimhne agat uirthi.

Rith ss -lntup mar root agus léigh gach líne a luann 443, iontrálacha IPv6 san áireamh. De ghnáth glacann éisteoir v6 fiáin le trácht v4 freisin, agus is mar sin a choinníonn éisteoir a rinne tú dearmad air an port áitithe tar éis duit an comhad a athrú a cheap tú a bhí freagrach. Má chuireann ainm próisis iontas ort, caolaigh an t-aschur le ss -lntup 'sport = :443' sula ndéanann tú teagmháil le haon rud.

Athraigh an tollán go UDP nuair a cheadaíonn an líonra é

Seachnaíonn éisteoir UDP an t-achrann go hiomlán agus is gnách gurb é an deisiú is giorra é, ós rud é nach roinntear aon soicéad agus nach dtéann aon táirge breise isteach sa chonair. Níl sé saor in aisce áfach. Caitheann roinnt líonraí cliant UDP 443 gan athshocrú a sheoladh, mar sin stopann an tollán ag bunú in ionad teip ar bind, agus tuairiscíonn an t-úsáideoir go bhfuil an VPN síos gan aon earráid le léamh. Maireann éisteoir UDP freisin tar éis atosú na cise gréasáin, rud a bhíonn tábhachtach ar mheaisín a ndéantar a shuíomh a ath-imscaradh go minic. Déan tástáil ón líonra ina suíonn na húsáideoirí, mar ní chruthaíonn blaosc ar an bhfreastalaí ach go sroicheann an freastalaí é féin.

Athraigh an t-iompar sa chumraíocht freastalaí agus i bpróifíl an chliaint le chéile. Rachaidh próifíl a iarrann TCP fós i lúb athnascadh i gcoinne éisteoir UDP amháin, agus breathnaíonn sé sin cosúil le locht líonra go dtí go gcuireann tú an dá chomhad i gcomparáid.

Lig don phróiseas VPN TCP 443 a shealbhú agus seol an chuid eile ar aghaidh

Léann Community OpenVPN i mód freastalaí TCP na chéad bhearta de nasc isteach agus seolann sé aon rud nach é a phrótacal féin chuig inneall HTTPS, agus is chuige sin atá an treoir port-share. Is gnáthfhreastalaí gréasáin é an t-inneall le TLS cumasaithe, ainmnithe de réir óstaigh agus poirt sa treoir sin seachas de réir URL.

port-share 10.0.0.5 8080

Ar mheaisín ina bhfuil an dara seoladh príobháideach ag an suíomh, seolann an líne sin trácht nach VPN é chuig 10.0.0.5:8080, mar sin caithfidh an t-óstach fíorúil HTTPS a bheith ceangailte ansin agus caithfidh an balla dóiteáin an léim áitiúil a cheadú. Caithfidh an freastalaí gréasáin TLS a chríochnú é féin, mar is é handshake bunaidh an bhrabhsálaí na bearta a thagann isteach agus níor dhíchriptigh aon rud eatarthu iad. Dírightear an treoir chuig gnáthéisteoir HTTP agus faigheann an brabhsálaí earráid mhodha neamhbhailí, a léitear mar shuíomh briste seachas mar inneall míshuite. Níl an treoir ann ach i mód freastalaí TCP, agus níl aon sruth le scrúdú ag éisteoir UDP.

Ós rud é go nglacann an próiseas VPN le gach nasc, feiceann an feidhmchlár gréasáin an t-iarratas seolta ag teacht ó cheann de sheoltaí an óstaigh féin seachas ón gcuairteoir. Braitheann aon rud a dteastaíonn fíorsheoladh an chliaint uaidh ar thacaíocht phrótacal PROXY san inneall nó ar thosach a chuireann leis é. Ní thugann bogadh an innill go seoladh áitiúil eile seoladh an chuairteora ar ais; ní athraíonn sé ach cé acu de sheoltaí an óstaigh a thaifeadann an suíomh. Scríobh an teorannú sin sna nótaí imlonnaithe sula n-ardaíonn tuarascáil anailíse an cheist.

Is é seachfhreastalaí droim ar ais an uirlis mhícheart; ní hé ródaire ceathrú sraith é

Críochnaíonn seachfhreastalaí droim ar ais HTTP TLS ionas gur féidir leis iarratais a léamh, rud a chiallaíonn nach féidir leis sruth OpenVPN a rith tríd gan teagmháil. Is féidir le ródaire ceathrú sraith a sheolann ar aghaidh de réir SNI nó de réir scrúdaithe an chéad phaicéid seasamh os comhair an dá rud, ar choinníoll nach gcríochnaíonn sé an seisiún a bhfuil an VPN ag brath air. Breathnaíonn an dá ghléas mar an gcéanna ar léaráid agus iompraíonn siad go hiomlán difriúil ag an soicéad.

Tagann Access Server tráchtála lena shocruithe roinnte poirt féin, agus ní dhéanann siad mapáil aon-ar-aon ar an treoir phobail. Aithnigh an táirge agus an leagan sula ndéanann tú treoir a scríobhadh don cheann eile a oiriúnú. Tá socruithe cóipeáilte a ndéantar neamhaird chiúin orthu níos measa ná aon socrú, mar breathnaíonn liosta na n-éisteoirí go fóill inchreidte ina dhiaidh sin.

Tástáil an suíomh gréasáin agus an tollán mar dhá chonair ar leith

Luchtaigh an suíomh agus ceangail an tollán, ansin léigh liosta na n-éisteoirí arís chun a fheiceáil cé a shealbhaíonn 443 anois. Ní chruthaíonn leathanach a luchtaítear aon rud faoin VPN, agus ní chruthaíonn tollán a cheanglaítear aon rud faoin suíomh, cé go n-úsáideann an dá cheann an uimhir chéanna. Seiceálann na trí ordú thíos an soicéad roinnte, an chonair ghréasáin agus an tseirbhís VPN san ord sin.

ss -lntup 'sport = :443'
curl -sI https://vpn.example.com/ | head -n 1
journalctl -u openvpn-server@server -n 20

Cuir seoladh an chliaint i log rochtana an innill i gcomparáid leis an gceann i log an VPN don mhóimint chéanna. Má thaifeadann an suíomh gach cuairteoir mar an t-óstach féin, oibríonn an tarchur agus ní oibríonn an láimhseáil seoladh. Má fhanann an dá log ina dtost, níor thug an tosach an nasc ar láimh riamh. Cibé scéal é, socraíonn liosta na n-éisteoirí cé a ghlacann leis an soicéad, agus sin é an fhíric atá le deimhniú sula n-athraíonn tú comhad eile.

Fág an léarscáil éisteoirí sin in aice na cumraíochta ionas go mbeidh a fhios ag an gcéad duine eile a dhéanann teagmháil le 443 cé a ghlacann leis agus cá ndeachaigh an prótacal eile. Deimhnigh an úinéireacht tar éis an athraithe seachas muinín a bheith agat as an méid a bhí beartaithe ag an eagarthóireacht.