OpenVPN kan SOCKS5: daidaita siga, kai da DNS

Ɗaya daga cikin hanyoyin fita daga wannan tashar aiki wakilin SOCKS ne, kuma OpenVPN da ke bayansa yana ba da rahoton ƙarewar lokacin haɗi ba tare da wani bayani mai amfani ba. Mai bincike a kan na'urar ɗaya yana aiki ta wannan wakili, bayanan shiga daidai ne, kuma tashar tana amsawa. Abubuwa uku suna bambanta sosai da za a fara duba su: sigar SOCKS da wakilin ke magana, hanyar kai da abokin ciniki ya zaɓa, da wurin da ake warware suna. Tabbatar da kowanne kafin ka zargi katangar wuta.

Daidaita sigar SOCKS kafin katangar wuta

OpenVPN na al'umma yana magana da SOCKS5 don socks-proxy. Juya shi zuwa wakilin da ke ba da SOCKS4 kawai, haɗin TCP zai buɗe sannan ya tsaya, domin abokin ciniki yana jiran amsar gaisuwa da wani ɓangaren ba ya taɓa nazarin ta. Daga waje wannan tsayawa tana kama da tashar da aka tace, shi ya sa tambayar siga take zuwa kafin kowace ka'idar katangar wuta. Janyo ɗaya da ya san SOCKS yana warware wannan da umarni ɗaya.

curl --socks5-hostname 127.0.0.1:9050 gw.lab.example

Buƙatar da aka kammala tana tabbatar da abubuwa biyu a lokaci ɗaya: wakilin ya karɓi buƙatar SOCKS kuma ya warware sunan. Ba a buƙatar tsarin URL, domin curl yana ɗaukar tsirar mai masauki a matsayin HTTP, kuma wannan ya isa wannan gwajin.

Wannan janyo kuma yana kawar da gazawar da tarihin abokin ciniki ke ɓoyewa. Wakili na iya ba da izini ga mai bincike sannan ya ƙi inda VPN zai je, a lokacin ne ƙin ya faru a CONNECT, kafin kowane tabbaci na VPN. OpenVPN yana ba da rahoton ƙarewar lokaci kawai, don haka amsar wakilin kanta ita ce shaidar da kake buƙata.

Hanyar kai dole ta zama TCP a kowane gefe

SOCKS5 yana ɗaukar rafin TCP a nan, don haka tunnel ɗin kanta yana buƙatar proto tcp-client. Bayanin da har yanzu aka saita zuwa UDP ba zai yi aiki ta wannan hanya ba, domin abokin ciniki ba ya amfani da yanayin haɗin UDP na yarjejeniya. Juya bayanin canji ne na gaske ba tsari ba: gefen nesa dole ya saurari TCP a wannan tashar. Sannan kayan ya zama TCP cikin TCP, inda ɓataccen sashe ake sake aika shi sau biyu kuma gudu ya ragu, abin da zaman hulɗa ke lura da shi fiye da manyan canja wuri.

proto tcp-client
remote gw.lab.example 8443
socks-proxy 127.0.0.1 9050

Wannan umarnin yana karɓar mai masaukin wakili, tasha na zaɓi da fayil ɗin bayanan shiga na zaɓi. Saka su cikin bayanin kansa domin kwafi a wani wuri ya yi daidai.

Rufe dukan sarkar cikin kwano ɗaya

Yin sarkar a kan mai masauki yana nufin karɓar hanyarsa ta asali da barin mai warwarewa a yanayin da babu wanda zai iya bayyana shi daga baya. Sararin suna ko kwano yana iyakance ta maimakon haka, don haka mai masauki yana riƙe hanyarsa yayin da tsallen SOCKS da tunnel suke rayuwa tare. Babu abin da ke tashi a ciki ba tare da na'urar tunnel, haƙƙin daidaita wannan na'urar da wakili mai isa ba. Sabis ɗin Compose yana samun haka da cap_add: NET_ADMIN da /dev/net/tun da aka ɗora ta bind.

cap_add:
  - NET_ADMIN
devices:
  - /dev/net/tun:/dev/net/tun

Wannan biyun ya fi ƙunci fiye da gudanar da kwano da cikakken izini, kuma shi ne dukan hanyar shiga na'urar da ake buƙata. Abokin ciniki na Tor ko wani kwano na wakili na daban zai iya ba da mai saurare. A kowane hali ɗaure shi da loopback, ka isa gare shi daga sararin suna ta mai masauki maimakon fallasa wakilin ga cibiyar sadarwa.

Warware suna ita ce wurin da keɓewa ke kasa

Tunnel da ke ɗaukar fakiti amma har yanzu yana tambayar mai warwarewar mai masauki bai keɓe kome ba. Abubuwa biyu suna sa keɓewar ta zama ta gaske: sararin suna yana da nasa mai warwarewa, kuma tambayoyinsa suna wucewa ta wakili ko tunnel, ba ta hanyar sadarwar zahiri ba. Yi amfani da sunaye biyu a gwajin: ɗaya da ke wanzuwa kawai a bayan tunnel, da ɗaya na jama'a wanda ya kamata ya bi wannan hanya.

docker compose exec vpn cat /etc/resolv.conf
docker compose exec vpn getent hosts internal.lab.example

Idan sunan nesa ya warware kuma na jama'a bai warware ba, sarkar zaɓaɓɓiya ce ba karyayyiya ba, kuma bambancin yana gaya maka hanyar da kowace tambaya ta bi. Idan duka biyu sun warware daga mai masauki amma babu wanda ya warware cikin kwano, kwanon har yanzu yana aron mai warwarewar mai masauki. Rubuta fayil ɗin mai warwarewa da ka samu, domin shi ne saitin da ya kamata a canza.

Tabbatar da kowane tsalle bisa tsari

Jerin gajere ne. Buƙatar SOCKS5 tana samun amsa, tunnel ɗin yana isa mai sauraronsa ta wakili, kuma fakiti da ke fita daga sararin suna suna ɗaukar adireshin da gefen nesa ke tsammani. Tabbatar da ɗaya bayan ɗaya maimakon ƙara saiti. Lokacin da abokin ciniki ya ce an haɗa kuma babu abin da ke motsi, karyewar tana kusan kullum cikin hujja ta biyu ko ta uku.

curl --socks5-hostname 127.0.0.1:9050 gw.lab.example
docker compose exec vpn ip route get 203.0.113.10
docker compose exec vpn getent hosts internal.lab.example

Rubuta haɗin da ya yi aiki: sigar SOCKS, hanyar kai, mai warwarewa da saitunan sararin suna. Warware wannan sarkar a karo na biyu daga ƙwaƙwalwa ya fi tsada fiye da rubutun. Riƙe waɗannan hujjoji huɗu cikin tikitin, ba cikin tattaunawa ba.

Sarkar da ke ba da rahoton an haɗa amma ba ta wuce kome, yawanci ta kasa a tsallen da ba ka tabbatar da shi ba tukuna. Gwada wannan tsallen kafin ka ƙara wani layi.