Hvar TLS sit inni í OpenVPN og hvað breytir löguninni

OpenVPN notar vissulega TLS, og fólk teygir það reglulega út í fullyrðingu sem það þolir ekki: að göng því sé lík vafra sem heimsækir vefsvæði. Fyrri hlutinn er sannur. Sá seinni ekki. TLS hér tilheyrir stjórnrás sem ferðast innan eigin gáms OpenVPN, við hlið farmsrásar með allt aðra dulmálsfræði, svo hver sem skoðar upphafsbætin sér OpenVPN.

Tvö samtöl í einu umslagi

Hugsaðu þér lotu sem tvö samtöl sem deila einu umslagi. Annað staðfestir skírteini og leiðir út lykilefni. Hitt dulkóðar það sem þú ert í raun að senda, með því sem hið fyrra framleiddi.

Umslagið er samskiptareglan. Hver pakki byrjar á litlum haus sem nefnir tegund sína, og sá haus kemur á undan öllu öðru.

Hvað kemur í raun fyrst

Vegna þessarar röðunar er það fyrsta á vírnum ekki TLS-færsla. Það er haus OpenVPN, og á eftir honum efni þeirrar rásar sem hausinn tilkynnir. ClientHello er þar inni, bara ekki á núllbæti. Ekki þarf að afkóða til að taka eftir muninum, því lögunin ein uppljóstrar hann.

Sjálfgefnu gildin skipta hér líka máli. Flæðið er UDP á 1194 nema sniðið velji TCP. Í báðum tilvikum er ytra útlit göng en ekki vefbeiðni.

Þrjár heiðarlegar leiðir til að breyta löguninni

TLS-endapunktur eins og stunnel tekur við TLS á porti á hvorum enda og afhendir afkóðað flæði til OpenVPN á staðnum, svo netið sér TLS á það port. Samskiptaregla sem er TLS frá fyrsta bæti hagar sér öðruvísi: AnyConnect-samhæfa skiptingin sem ocserv útfærir líkist fyrirtækjafjártengingu sem mörg net búast þegar við. SSTP, sem fylgir Windows, hefur sömu eiginleika í annarri vöru.

Á Linux ber valkostur SSH -w punkt-til-punkt tengingu innan SSH-lotu, sem er gagnlegt þegar SSH er eina leyfða samskiptareglan. Hann er ódýrastur af fjórum ef SSH virkar þegar frá því neti, og gagnslausastur ef ekki.

Hvað ekkert þeirra breytir

Ekkert þessara breytir því sem göngin geta náð til. Þau gera lokað vistfang ekki aðgengilegt, þau auðkenna engan og þau ákveða ekki leiðir.

Umbúðir kosta þig líka eina einingu. Tveir hlustendur og tvær stillingarskrár þýða tvo staði fyrir bilun, og báðir líta eins út frá sæti notandans. Gerðu ráð fyrir því áður en þú tekur eina upp. Lotan helst ein langlíf dulkóðuð flæði að einum áfangastað, og rúmmál hennar og tímasetning vera sýnileg.

Greindu fyrst, veldu svo

Greindu því fyrst. UDP sem er sleppt er svarað með TCP-ham, og þekkt undirskrift er svarað með annarri samskiptareglu eða umbúðum. Að velja tól áður en þú þekkir lokunina er hvernig fólk endar með að viðhalda þremur lögum sem öll bregðast af sömu ástæðu.

Net sem leyfir aðeins vefport þrengir valið að TLS-undirstöðuðu samskiptareglunni á 443. Að beita öllum þremur í einu gefur stafla sem enginn getur kembt, svo breyttu einu og prófaðu sama flæði aftur.

Ef ekkert þeirra á við er nákvæma svarið að þetta net muni ekki bera göng fyrir þig. Það er niðurstaða en ekki mistök í átaki. Að fara í gegnum fleiri valkosti snýr ekki við stefnuákvörðun sem tekin var ofar.

Ein mörk standa fyrir þessu öllu. Leyfi til að keyra göng á neti einhvers annars er stefnumál, ákveðið aðskilið frá því hvort aðferðin virkar. Þessar staðreyndir útskýra hvað áhorfandi sér, og þær veita ekki leyfi.