სად ზის TLS OpenVPN-ის შიგნით და რა ცვლის ფორმას

OpenVPN ნამდვილად იყენებს TLS-ს და ადამიანები ხშირად აფართოებენ ამას იმ მტკიცებამდე, რომელსაც ის ვერ იტანს: თითქოს გვირაბი ამიტომ ჰგავს საიტის მნახველ ბრაუზერს. პირველი ნაწილი მართალია. მეორე არა. TLS აქ ეკუთვნის მართვის არხს, რომელიც მოძრაობს OpenVPN-ის საკუთარი კონტეინერის შიგნით, გვერდით სრულიად სხვა კრიპტოგრაფიის მქონე დატვირთვის არხია, ამიტომ ვინც გახსნის ბაიტებს ამოწმებს, OpenVPN-ს ხედავს.

ორი საუბარი ერთ კონვერტში

წარმოიდგინეთ სესია როგორც ორი საუბარი, რომლებიც ერთ კონვერტს იყოფენ. ერთი ამოწმებს სერტიფიკატებს და გამოაქვს გასაღების მასალა. მეორე შიფრავს იმას, რასაც რეალურად აგზავნით, პირველის მიერ წარმოებული მასალით.

კონვერტი პროტოკოლია. ყოველი პაკეტი იწყება პატარა სათაურით, რომელიც მის ტიპს ასახელებს, და ეს სათაური ყველაფერზე ადრე მოდის.

რა მოდის რეალურად პირველი

ამ რიგის გამო, ხაზზე პირველი რამ TLS ჩანაწერი არ არის. ეს არის OpenVPN-ის სათაური, რომელსაც მოსდევს იმ არხის შიგთავსი, რომელსაც სათაური აცხადებს. ClientHello იქ არსებობს, უბრალოდ არა ნულოვან ბაიტზე. სხვაობის შესამჩნევად გაშიფვრა არ არის საჭირო, რადგან ფორმა თავად გასცემს მას.

ნაგულისხმევი მნიშვნელობები აქაც მნიშვნელოვანია. ნაკადი UDP-ით მიდის 1194-ზე, თუ პროფილი TCP-ს არ აირჩევს. ორივე შემთხვევაში გარეგანი იერი გვირაბია და არა ვებ მოთხოვნა.

ფორმის შეცვლის სამი პატიოსანი გზა

TLS ტერმინატორი, მაგალითად stunnel, იღებს TLS-ს პორტზე თითოეულ ბოლოში და გაშიფრულ ნაკადს ლოკალურად გადასცემს OpenVPN-ს, ამიტომ ქსელი TLS-ს ხედავს იმ პორტისკენ. პროტოკოლი, რომელიც პირველი ბაიტიდან TLS-ია, სხვანაირად იქცევა: ocserv-ის მიერ განხორციელებული AnyConnect-თავსებადი გაცვლა ჰგავს კორპორატიულ დისტანციურ წვდომას, რომელსაც ბევრი ქსელი უკვე ელოდება. SSTP-ს, რომელიც Windows-თან მოდის, იგივე თვისება აქვს სხვა პროდუქტში.

Linux-ზე SSH-ის -w ვარიანტი ატარებს წერტილ-წერტილ კავშირს SSH სესიის შიგნით, რაც სასარგებლოა, როცა SSH ერთადერთი დაშვებული პროტოკოლია. ის ოთხიდან ყველაზე იაფია, თუ SSH უკვე მუშაობს ამ ქსელიდან, და ყველაზე ნაკლებად სასარგებლო, თუ არა.

რას არ ცვლის არც ერთი მათგანი

არც ერთი ეს არ ცვლის იმას, თუ სად შეიძლება მიაღწიოს გვირაბმა. ისინი არ ხდიან დაბლოკილ მისამართს მისაწვდომს, არ ამოწმებენ არავის ვინაობას და არ წყვეტენ მარშრუტებს.

გარსი ასევე ერთ კომპონენტად გიჯდებათ. ორი მსმენელი და ორი კონფიგურაციის ფაილი ნიშნავს ორ ადგილს ჩავარდნისთვის, და ორივე მომხმარებლის ადგილიდან ერთნაირად გამოიყურება. ეს ბიუჯეტში ჩადეთ სანამ ერთს მიიღებთ. სესია რჩება ერთ გრძელვადიან დაშიფრულ ნაკადად ერთი დანიშნულებისკენ, და მისი მოცულობა და დრო შესამჩნევი რჩება.

ჯერ დიაგნოზი, შემდეგ არჩევანი

ამიტომ ჯერ დიაგნოზი დასვით. ჩამოშორებულ UDP-ს TCP რეჟიმი პასუხობს, ხოლო ცნობილ ხელმოწერას სხვა პროტოკოლი ან გარსი. ხელსაწყოს არჩევა ბლოკირების ცოდნამდე იმ გზას უდევს, რომლითაც ადამიანები საბოლოოდ სამ ფენას ინახავენ, რომლებიც ყველა ერთი და იმავე მიზეზით ფარდება.

ქსელი, რომელიც მხოლოდ ვებ პორტებს უშვებს, არჩევანს ავიწროებს 443-ზე TLS-ზე დაფუძნებულ პროტოკოლამდე. სამივეს ერთად გამოყენება გაძლევთ დაგროვებას, რომლის გამართვას ვერავინ შეძლებს, ამიტომ შეცვალეთ ერთი რამ და ხელახლა გამოსცადეთ იგივე ნაკადი.

თუ არც ერთი არ ეხება, ზუსტი პასუხია, რომ ეს ქსელი თქვენთვის გვირაბს არ ატარებს. ეს აღმოჩენაა და არა ძალისხმევის მარცხი. მეტი ვარიანტის ცდა არ აბრუნებს ზემოთ მიღებულ პოლიტიკურ გადაწყვეტილებას.

ერთი საზღვარი დგას ამ ყველაფრის წინ. სხვის ქსელში გვირაბის გაშვების ნებართვა პოლიტიკის საკითხია, რომელიც წყდება ცალკე იმისგან, მუშაობს თუ არა მექანიზმი. ეს ფაქტები ხსნის, რას ხედავს დამკვირვებელი, და ისინი ნებართვას არ იძლევიან.