Որտեղ է TLS-ը OpenVPN-ի ներսում, և ինչն է փոխում ձևը

OpenVPN-ը իսկապես օգտագործում է TLS, և մարդիկ սովորաբար դա ընդլայնում են մի պնդման, որը այն չի կարող կրել՝ թունելը դրանով նման է կայք այցելող զննարկիչի։ Առաջին մասը ճիշտ է։ Երկրորդը՝ ոչ։ TLS-ը այստեղ պատկանում է կառավարման ալիքին, որը շարժվում է OpenVPN-ի սեփական տարայի ներսում, կողքին՝ բոլորովին այլ գաղտնագրությամբ բեռնվածքի ալիք, ուստի ով զննում է սկզբնական բայթերը, տեսնում է OpenVPN։

Երկու զրույց մեկ ծրարում

Պատկերացրեք սեսիան որպես երկու զրույց, որոնք կիսում են մեկ ծրար։ Մեկը վավերացնում է վկայականները և ստացում բանալու նյութ։ Մյուսը գաղտնագրում է այն, ինչ դուք իրականում ուղարկում եք՝ օգտագործելով առաջինի արտադրածը։

Ծրարը հենց արձանագրությունն է։ Յուրաքանչյուր փաթեթ սկսվում է փոքր վերնագրով, որը նշում է նրա տեսակը, և այդ վերնագիրը գալիս է մնացած ամեն ինչից առաջ։

Ինչն է իրականում գալիս առաջինը

Այդ հերթականության պատճառով լարի վրա առաջինը TLS գրառում չէ։ Դա OpenVPN-ի վերնագիրն է, որին հաջորդում է այն ալիքի բովանդակությունը, որը հայտարարում է վերնագիրը։ ClientHello այնտեղ կա, պարզապես ոչ զրոյական բայթում։ Տարբերությունը նկատելու համար գաղտնազերծում պետք չէ, որովհետև ձևն ինքն է մատնում այն։

Լռելյայն արժեքներն այստեղ նույնպես նշանակություն ունեն։ Հոսքը UDP-ով գնում է 1194, եթե պրոֆիլը չընտրի TCP։ Երկու դեպքում էլ արտաքին տեսքը թունել է, ոչ վեբ հարցում։

Ձևը փոխելու երեք ազնիվ եղանակ

TLS վերջակետը, ինչպիսին stunnel-ն է, ընդունում է TLS մի պորտում՝ յուրաքանչյուր ծայրում, և գաղտնազերծված հոսքը տեղում հանձնում OpenVPN-ին, ուստի ցանցը տեսնում է TLS դեպի այդ պորտը։ Արձանագրությունը, որը TLS է առաջին բայթից, իրեն այլ կերպ է պահում՝ ocserv-ի իրականացրած AnyConnect-համատեղելի փոխանակումը նման է կորպորատիվ հեռավոր մուտքի, որը շատ ցանցեր արդեն սպասում են։ SSTP-ն, որը գալիս է Windows-ի հետ, նույն հատկությունն ունի այլ արտադրանքում։

Linux-ում SSH-ի -w ընտրանքը կրում է կետ-կետ կապ SSH սեսիայի ներսում, ինչը օգտակար է, երբ SSH-ը միակ թույլատրված արձանագրությունն է։ Այն չորսից ամենաէժանն է, եթե SSH-ն արդեն աշխատում է այդ ցանցից, և ամենաքիչ օգտակարը, եթե ոչ։

Ինչը ոչ մեկը չի փոխում

Սրանցից ոչ մեկը չի փոխում, թե թունելը ինչ կարող է հասնել։ Նրանք արգելափակված հասցեն հասանելի չեն դարձնում, ոչ մեկին չեն նույնականացնում և երթուղիներ չեն որոշում։

Փաթաթան ձեզ նաև մի բաղադրիչ է արժենում։ Երկու լսող և երկու կարգավորման ֆայլ նշանակում են ձախողման երկու տեղ, և երկուսն էլ օգտվողի տեղից նույնն են երևում։ Նախատեսեք դա նախքան մեկը որդեգրելը։ Սեսիան մնում է մեկ երկարաժամկետ գաղտնագրված հոսք դեպի մեկ նպատակակետ, և դրա ծավալն ու ժամանակը մնում են տեսանելի։

Նախ ախտորոշեք, հետո ընտրեք

Այսպիսով նախ ախտորոշեք։ Գցված UDP-ին պատասխանում է TCP ռեժիմը, իսկ ճանաչված ստորագրությանը՝ այլ արձանագրություն կամ փաթաթան։ Գործիք ընտրելը նախքան արգելափակումը իմանալը այն ուղին է, որով մարդիկ ի վերջո պահպանում են երեք շերտ, որոնք բոլորը ձախողվում են նույն պատճառով։

Ցանցը, որը թույլատրում է միայն վեբ պորտեր, ընտրությունը նեղացնում է 443-ի վրա TLS-ի վրա հիմնված արձանագրության։ Բոլոր երեքը միաժամանակ կիրառելը տալիս է բուրգ, որը ոչ ոք չի կարող վրիպազերծել, ուստի փոխեք մի բան և նորից փորձարկեք նույն հոսքը։

Եթե ոչ մեկը չի կիրառվում, ճշգրիտ պատասխանն այն է, որ այս ցանցը ձեզ համար թունել չի կրի։ Դա հայտնագործություն է, ոչ ջանքի ձախողում։ Ավելի տարբերակներ փորձելը չի շրջում վերևում կայացված քաղաքականության որոշումը։

Մեկ սահման կանգնած է այս ամենի առաջ։ Ուրիշի ցանցում թունել վարելու թույլտվությունը քաղաքականության հարց է, որը որոշվում է առանձին այն հանգամանքից՝ արդյոք մեխանիզմը աշխատում է։ Այս փաստերը բացատրում են, թե դիտորդն ինչ է տեսնում, և թույլտվություն չեն տալիս։