An toshe VPN a cibiyar yanar gizo kawai? Yi aiki da matakan

Cibiyar yanar gizo ta harabar jami'a ko otal da burowsa ke aiki kuma kowane rami yana mutuwa ba matsala ɗaya ba ce, matakai huɗu ne a jere. Hanyar na iya ba da izinin TCP 443 kawai, tana iya buƙatar wakili mai tabbaci, tana iya duba musafaha, kuma tana iya hana shiga nesa da manufa kawai. Yin su bisa tsari yana hana ka sayan sabon abokin ciniki don gyara ƙa'idar cibiyar. Jagorar da ke ƙasa tana ɗaukar kusan minti goma kuma tana ƙarewa da rubutaccen amsa kan wane mataki ya ƙi ka.

Tabbatar wane mataki ya ƙi haɗin

Kada ka fara da abokin ciniki na VPN. Fara da buƙatar HTTPS ta yau da kullum zuwa ga mai masaukin nan, kuma karanta matakan lokaci, domin matakin da ya kasa yana gaya maka wace na'ura ce ke da alhaki:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Babu amsa kuma babu lokacin connect yana nufin TCP bai taɓa kammala ba, don haka wuta ta bango, buƙatar wakili ko wuri mara kyau suna cikin wasa. Lokacin connect ba tare da lokacin tls ba yana nufin wani abu a tsakiya ya karɓi haɗin sannan ya tsayar da musafaha, kuma haka wakili mai bincike yake nunawa daga gefen abokin ciniki.

Yanzu duba takardar shaidar da kake samu da gaske. Wannan ita ce hanya mafi sauri ta gano ko kana magana da uwar garke ko da wani akwati na tsakiya da ya sake sanya hannu kan zaman:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Karanta layin mai bayarwa. CA naka yana nufin ka isa sabis ɗin; mai bayarwa na kamfani ko na'ura yana nufin wani matattara ya ƙare haɗin kuma yana yanke shawarar abin da zai biyo baya. Rubuta duka fitarwar biyu tare da tambarin lokaci, domin gwajin nan da awa ɗaya a cibiyar baƙi na iya ba da amsa daban.

Abokin ciniki mai sane da wakili yana canza fakitin farko, ba manufa ba

Idan cibiyar tana buƙatar CONNECT ta wakili mai tabbaci, dole ne a gaya wa abokin ciniki na VPN, in ba haka ba zai yi ƙoƙarin buɗe soket zuwa adireshin da ba zai iya turawa ba. Gwada wakilin dabam da abokin ciniki, domin gazawa ta sami bayani ɗaya:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Umarni na farko yana tabbatar wakilin zai ɗauki wurin. Na biyu yana neman abokin ciniki ya yi amfani da TCP a 443, shine kawai jigilar da yawancin hanyoyin yanar gizo kawai za su wuce da ita. Idan umarni na farko ya yi nasara kuma na biyu ya ci gaba da kasawa, wakilin ba shine shamaki ba.

Wasu abokan ciniki suna karanta wakilin tsarin aiki maimakon maye gurbinsa, wasu kuma ba sa karanta ko ɗaya. Duba takardun aikace-aikacen kafin ka ɗauka cewa saitin tsarin duka yana aiki. Abokin ciniki da ke warware ƙarshen ta hanyar mai warwarewa da wakilin ba ya yi masa hidima zai kasa a nan kuma, wanda shine dalilin da canjin DNS zai iya kama da magani alhali karkata ne kawai.

Kula da tsarin turawa yayin da kake ciki. Cibiyar da aka tace tana iya amsa sunan mai masauki na gano na mai sayarwa da wani abu nata, wanda ke canza wace bayanin wakili abokin ciniki ke zaɓa. Kada ka gina tsari a kan wannan baƙon abu. Yana bambanta bisa wuri, yana canzawa ba tare da sanarwa ba, kuma ba abu ne da za ka iya tallafawa ga wani ba.

Tashar 443 ana iya isa, ba a yarda ba

Naɗe rami cikin TLS a 443 yana warware isarsa kawai ba wani abu ba. Matattara da ke duba tashar zai bar ta; matattara da ke ɗaukar sawun musafaha ba zai bar ta ba, kuma gaisuwar abokin ciniki da aka ɓoye tana ɓoye sunan uwar garke ne kawai idan ɓangarori biyu suna goyon bayansa. Gudanar da gwajin ka gano wace irin matattara kake bayanta maimakon yin fata.

Akwai kuma kuɗin aiki da mutane ke ganowa daga baya. Jigila mai dogaro a cikin jigila mai dogaro yana ƙara asara, domin tarin ciki yana sake aika sassan da tarin waje ya riga ya sake aikawa. A kan hanyar da take tsabta babu wanda ke lura. A cibiyar waya mara igiya mai cunkoso ramin yana zama mara amfani daidai lokacin da kake buƙatarsa, kuma zanen yana kama da asarar fakiti ko da ba a zubar da komai da gangan ba.

UDP yawanci shine farkon wanda aka kashe, kuma ya kamata a tabbatar da haka maimakon yin hasashe. Idan WireGuard ko OpenVPN na asali ba su taɓa kammala musafaha yayin da TCP 443 ke aiki, cibiyar tana zubar da UDP, kuma babu sake haifar da maɓalli da zai canza hakan:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Tambarin lokacin musafaha mara komai kusa da abokin tafiyar da ke aiki jiya shine amsar UDP. Tambayoyin DNS biyu suna amsa wata tambaya: idan mai warwarewa na gida da mai warwarewa na jama'a sun saɓa kan adireshin ƙarshen, ana tura ka kuma hujjar jigila ita ce mara kyau.

Tabbatar da abin da ya bar na'urar da gaske

Rubuce-rubucen abokin ciniki suna bayyana abin da abokin ciniki ya yi imani. Riƙewa yana bayyana abin da cibiyar ta gani, kuma bambanci tsakanin su shine inda yawancin waɗannan al'amura ake warwarewa:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

Idan ka ga fakiti na SYN babu SYN-ACK, toshewar tana sama kuma abokin ciniki ba shi da laifi. Idan ka ga kammalallen musafaha zuwa adireshin da ba na uwar garke ba, kana magana da wakili ko mai kama. Idan ba ka ga komai ba, duba ka riƙe a kan madaidaicin mahaɗi kafin ka yanke wata shawara.

Jerin soket yana kama wani yanayi mai zurfi: wani rami na biyu da ke riƙe da hanyar asali. Abokan ciniki biyu da ke faɗa a kan teburin turawa suna haifar da gazawa na lokaci-lokaci waɗanda suke kama da cibiyar da aka toshe, kuma riƙewar zai nuna zirga-zirgar da ke fita ta mahaɗin da ba ka yi tsammani ba.

Mayar da baya, da bayanin da ya cancanci a adana

Mayar da canje-canjen a jeri na baya daga yadda ka yi su. Cire masu canza wakili, tsayar da abokin cinikin da ka fara da hannu, kuma cire duk wata maye gurbin hanya ko mai warwarewa da ka ƙara:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Barin abokin cinikin da aka fara da hannu yana aiki shine yadda kwamfutar tafi-da-gidanka ke ƙarewa da karyayyen cibiyar a ziyarar ofis ta gaba. Masu canza wakilin da aka bari a bayanin harsashi suna karya kayan aikin da ba su da alaƙa makonni da yawa, kuma wanda ke gyara su ba zai haɗa al'amuran biyu ba.

Sannan rubuta layi huɗu: cibiyar, tambarin lokaci, matakin da ya kasa, da mai bayarwar da ka gani. Hanya da ke aiki a wata harabar kuma ta kasa a ta gaba abu ne na yau da kullum, kuma mutum na gaba yana buƙatar sanin ko bambancin wakili ne, mai warwarewa, ko matattara. Idan amsar ita ce cibiyar ta hana shiga nesa, tsaya a nan ka nemi mai kula da hanyar da aka tallafa, maimakon ɗaukar karkata cikin manufar da ba ka karanta ba.