OpenVPN á 443 enn lokað? Skoðaðu hvað netið skoðar

Göngin tengjast frá heimalínu og stöðvast á hótel- eða skrifstofuneti, og flutningur þjónsins á port 443 breytti engu. Þessi niðurstaða er nógu algeng til að hafa lögun: portið var auðveldi hlutinn, og afgangur ákvörðunarinnar tilheyrir öllu sem situr milli biðlarans og þjónsins. Tvær spurningar leysa flest tilvik, og hvorug þeirra snýst um dulritun. Tekur netið við TLS handabandi á það vistfang, og heldur biðlarinn slóð að eigin umbúðum meðan göngin eru uppi?

Handabandið gefur meira upp en talan

Innfæddur VPN hlustandi á TCP 443 talar sína eigin samskiptareglu frá fyrsta pakkanum. ClientHello hefur útgáfusvið, slembigildi og lista yfir viðbætur, og tæki sem les nokkur hundruð bæti getur séð muninn án þess að afkóða neitt. Portunúmer eru ódýr að fullnægja, og lögun samskiptareglunnar er það sem sían athugar í raun. Reglur eru venjulega einnig skrifaðar eftir samskiptareglum, svo stefna sem skoðar TLS segir ekkert um UDP.

Gegnsætt milliþjónustuforrit sem krefst gildrar TLS lotu sleppir tengingunni við uppsetningu, oft eftir að TCP handabandinu lýkur. Þessi smáatriði skipta máli síðar, því þau þýða að annáll biðlarans stöðvast eftir að sambandi er komið á.

Umbúðir um strauminn búa til tvo bilunarpunkta

TLS umbúðir eins og stunnel endurheimta vænta lögun: biðlarinn tengist staðbundnum hlustanda, umbúðirnar opna raunverulega TLS lotu til þjónsins á 443, og aðrar umbúðir á þjóninum senda afkóðuð bætin áfram til VPN þjónsins. Ytri lotan lítur nú út eins og hver önnur HTTPS tenging. VPN þjónninn á þjóninum ætti aðeins að hlusta á loopback, því ekkert utan umbúðanna þarf að ná til hans.

Þrjú aðskilin atriði verða að passa saman fyrir þessa hönnun. Biðlarasniðið bendir á staðbundna hlustandann, skírteini þjónsins passar við nafnið sem biðlarinn staðfestir, og framsendingin á þjónshlið miðar á portið sem þjónninn notar í raun. Farðu rangt með eitt þeirra og tengingin deyr áður en VPN laginu er náð. Þá birtist misræmi í skírteini sem villa í umbúðum en ekki VPN villa, og þess vegna er þess virði að lesa báða annálana hlið við hlið.

Slóðin að umbúðunum er gildran

Um leið og göngin rísa bendir sjálfgefna slóðin inn í þau, og ytri TLS lotan þarf leið sem fer ekki inn í göngin sem hún ber. Venjulegur VPN biðlari verndar vistfangið sem hann hringir í; umbúðinn biðlari hringir í sitt eigið loopback, svo áfangavistfang umbúðanna er ósýnilegt þeirri vernd.

sudo ip route add 198.51.100.20 via 192.168.0.1
sudo openvpn --config client.ovpn
sudo ip route del 198.51.100.20

Nákvæmu vistfangin fyllir þú út, og slóðin verður að vera til alla ævi tengingarinnar, ekki bara við ræsingu. Lítið umbúðaskrift sem bætir slóðinni við fyrir biðlarann og fjarlægir hana eftir á er áreiðanlegra en munað skipun.

Á Android er hliðstæða þeirrar undantekningar stilling fyrir hvert forrit: útilokaðu umbúðaforritið frá göngunum svo eigin umferð þess fari út um farsímatenginguna. Án útilokunarinnar er umbúðunum beint inn í göngin sem þær reyna að byggja, og endurtengingarlykkjan lítur út eins og vandamál á þjóninum.

Lestu tímasetninguna áður en þú breytir nokkru

Lota sem deyr eftir sama bili í hvert sinn er undirskrift stefnu en ekki dulritunarbilun, og langvinn flæðimörk framleiða nákvæmlega þetta mynstur. Tenging sem er endurstillt strax eftir handabandið bendir til milliþjóns sem líkaði ekki skírteinakeðjan.

Berðu saman útgefanda skírteinis venjulegrar HTTPS síðu frá báðum netum. Ef útgefandinn er annar á takmarkaða netinu, eitthvað er að ljúka TLS í miðjunni, og engar umbúðir lifa af þá afhlíðingu óbreyttar. Sama samanburðurinn segir þér hvort lokunin miði á þjónsheitið þitt eða hverja TLS lotu á því vistfangi.

Skrifaðu niður hegðunina sem sést: hversu lengi lotan entist, hvort sambandið opnaðist, hvort umbúðirnar skráðu handaband. Hvert þeirra þrengir næstu prófun.

Prófaðu eitt breytu í einu

Athugaðu UDP fyrst, því sum net sleppa því algjörlega og UDP bilun segir ekkert um 443. Prófaðu svo TCP 443 án umbúðanna, og síðan umbúðirnar á 443. Lestu annál biðlarans á hverju stigi og stöðvaðu um leið og hegðunin breytist.

Breyttu einum þætti í hvert skipti. Nýtt port, nýjar umbúðir og ný dulritun í sama hring gera þér ókleift að segja hvert þriggja skipti máli.