OpenVPN í gegnum HTTP-milliþjón: lestu CONNECT-svarið fyrst

Beindu VPN-biðlara að fyrirtækis-HTTP-milliþjóni, og fyrsta gagnlega staðreyndin er að milliþjónninn talar ekki samskiptareglur VPN. Hann opnar venjulega TCP-tengingu á það vistfang sem þú nefndir og stígur svo til hliðar, og lætur biðlarann og netþjóninn annast sitt eigið skipti um þann straum. Allt sem biðlarinn þarf, frá flutningstegund til hlustara netþjónsins, verður að passa við þessa uppsetningu. Tvö misræmi útskýra flest mistök: UDP-snið sem beint er að CONNECT-milliþjóni, og svar milliþjóns sem er rangtúlkað sem VPN-villa.

Hvað milliþjónninn flytur og hvað ekki

Milliþjónninn er aðeins flutningsþrep. Hann verður ekki milliþjónn vafrans þíns, hann skyggir ekki á vefsvæðin sem þú heimsækir um göngin, og hann sér ekki innri umferð nema einhver hafi viljandi stillt skoðun. Göngin sem hann opnar eru ógagnsæ fyrir honum að hönnun.

Það þýðir líka að milliþjónninn getur ekki lagað netþjón sem hefur engan samsvarandi hlustara. Leyfi til að ná áfangastað og þjónusta sem hlustar á þeim áfangastað eru tvær aðskildar staðreyndir, og aðeins sú fyrri tilheyrir stjórnanda milliþjónsins.

Flutningsberinn verður að vera TCP á báðum endum

Venjulegur CONNECT-milliþjónn sendir aðeins bætastrauma áfram , svo biðlarinn verður að nota straumflutning. Biðlarabrot fyrir það tilvik lítur svona út:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

Netþjónshliðin þarf raunverulegan TCP-hlustara á þeirri gátt sem nefnd er í remote-línunni. Að breyta proto udp í proto tcp-client í sniði býr til biðlara sem væntir straums; það býr ekki til strauminn hinum megin. Ef sami netþjónn svarar líka um UDP á þeirri gátt er það annar hlustari, ekki önnur stilling hins sama.

Þar sem sérstakt TCP-tilvik er til eru göngutæki þess, vistfangasafnið og leiðin eigin auðlindir. Að afrita virka stillingu og breyta flutningsorðinu lætur þessar auðlindir benda á upprunalega tilvikið, sem gefur tengingu sem auðkennir sig og leiðir svo ekkert.

Lestu svar milliþjónsins fyrir niðurstöðu VPN

Fyrsta skipti biðlarans er beiðnilína sem nefnir vél og gátt áfangastaðarins. Svarið við þeirri línu segir þér hvort bætastraumar sé yfirhöfuð til, og það kemur áður en nokkurt vottorð eða skilríki er athugað:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

Svar af flokki 200 við CONNECT þýðir að straumurinn er til. Það segir ekkert um hvort vottorð gáttarinnar sé treyst, hvort sameiginlegi lykillinn passi eða hvort notandareikningurinn sé gildur. Þessar athuganir fara fram eftir á, inni í straumnum, og þær mistakast með skilaboðum biðlarans sjálfs frekar en HTTP-stöðulínu. Lestu annál biðlarans eftir fyrsta OpenVPN atburðinum eftir handabandið við milliþjóninn, ekki síðustu línunni áður en glugginn lokast.

Skilríki milliþjónsins og skilríki VPN eru oft mismunandi auðkenni í höndum mismunandi teyma. 407 er ekki slæmt lykilorð á VPN-reikningnum, og hafnað vottorð er ekki leyfisvandamál milliþjónsins.

Hvað CONNECT afhjúpar ekki

Skýr CONNECT-göng eru ekki hlerun. Milliþjónninn sendir bæti áfram og lýkur ekki TLS-lotunni VPN, svo staðfesting biðlarans á vottorði netþjónsins helst merkingarbær og ætti að vera áfram. Að slökkva á staðfestingunni til að komast fram hjá milliþjóni leysir annað vandamál en þitt.

Til eru aðskildar ráðstafanir þar sem stofnun lýkur og skoðar TLS viljandi. Þær krefjast eigin traustsstillingar og eigin stefnuákvörðunar, og þær eru ekki það sem venjuleg http-proxy-lína biður um.

Kostnaður TCP inni í TCP

Að flytja göngin yfir TCP heldur ytri straumnum í röð og með endursendingu, og innri umferðin er yfirleitt líka TCP. Þessir tveir endurheimtumekanisamar samræma sig ekki, svo eitt tapað hluti getur stöðvað allt sem deilir þeim ytri straumi þar til hann er endursendur. Þetta er raunverulegt skipti fyrir samhæfni, ekki ókeypis uppfærsla.

Notaðu milliþjónsleiðina þegar netið lætur þér ekki annan kost, og veldu beina UDP-leið þar sem stefnan leyfir. Í öllum tilvikum, staðfestu eftir breytingu að sami milliþjónn, áfangastaður og snið nái næsta áfanga; vafri sem hleður síðu á því vistfang notar aðra samskiptareglu og sannar ekkert um göngin.