.ovpn プロファイルの scramble 行にパッチ済みクライアントが必要な理由

scramble 行を含むプロファイルは公式クライアントに読み込まれた後、ハンドシェイクで失敗するか、行が黙って捨てられたまま読み込まれて何にも接続しません。このディレクティブはOpenVPNのパッチ済みビルドに属するものであり、上流の機能セットのものではなく、したがってそのパッチを持たないクライアントは、出来上がるプロトコルを話せません。通常のプロファイルに行を足しても実装は足されません。ファイルが意味を持つ前に、両端で互換性が必要です。

まずプロトコルの問題として、次にアプリストアの問題として扱ってください。

このオプションは設定の好みではなく、ワイヤー上の形式です

scramble パッチはトンネルのパケットがワイヤー上でどう見えるかを変え、通常はペイロードを共有値で XOR します。これにより両ピアが生成し受け入れるべきバイト列が変わるため、ローカル設定ではなく形式の合意になります。片側だけが変換を適用し、もう片側が適用しなければ、認証は通るのに使えるものを何も運ばないセッションになります。この設定は両端が同じパッチ済み挙動を実行する場合にのみ意味を持ちます。

二つの製品がどちらも難読化をうたっていても、互換性のない変換を実装していることがあります。メニュー上の名前は仕様ではなく、事業者の実際のビルドが仕様です。

ファイルを読み込めることは互換性ではありません

未知のディレクティブに対するクライアントの挙動はさまざまです。プロファイルを即座に拒否するもの、警告して続行するもの、行を捨てて通常のハンドシェイクで接続するものがあります。最後のケースが危険であり、トンネルは両方を受け入れるサーバーに対して確立でき、その後トラフィックでだけ失敗する可能性があります。したがって読み込みの成功は、パーサーが行を許容したことを示すだけで、接続が機能することを示しません。

展開が実際に必要とするクライアントとビルドで、事業者が実際に運用しているサーバーに対してテストしてください。

APK はサプライチェーンの判断です

パッチ済みの Android ビルドが存在するのは誰かがコンパイルしたからであり、その存在は今誰が保守しているかを何も語りません。承認する前に、展開の所有者は元になったソースリビジョン、パッチの適用方法、署名の身元、更新経路を確認すべきです。VPN アプリは認証情報と対象となるすべてのトラフィックを扱うため、無関係なダウンロードページは許容できる配布主体ではありません。

サービス事業者に、サポートされているクライアントの組み合わせと現在のインストール経路を尋ねてください。その経路がもう存在しないなら、展開には古いバイナリでは解決しない保守上の問題があります。

難読化は暗号化でも隠密でもありません

パケットの見た目の形式を変えても暗号化の代わりにはならず、ネットワークが接続を分類できない保証もありません。タイミング、エンドポイントの評判、周囲のトラフィックは依然として情報を運びます。プロファイルが依存するサーバー識別の確認、たとえば期待する名前に対する証明書の検証は、追加の層の目的が見た目を変えることであっても維持してください。

パッチの代わりにtls-cryptやプロキシ設定を使い、同等だと呼んではいけません。それぞれ接続の別の部分を変えます。

保守された組を求めてください

手に入れる価値があるのは、保守され、明示的に互換性があり、それぞれに文書化された更新経路を持つ二つの端点です。そのような組が存在しない場合は、特権的な古いアプリを生かし続けるのではなく、サポートされたサーバー輸送や別のアクセス設計を評価してください。その判断はサービス所有者のものであり、APK を見つけた人のものではありません。

クライアント側で動く scramble チェックボックスは、ローカルな能力の観測です。実際のセッションがトラフィックを運ぶまで、サーバーについて何も語りません。