OpenVPN HTTP прокси арқылы: алдымен CONNECT жауабын оқыңыз

VPN клиентін корпоративтік HTTP проксиге бағыттаңыз, және бірінші пайдалы факт — прокси VPN протоколында сөйлемейді. Ол сіз көрсеткен мекенжайға қарапайым TCP қосылымын ашады, содан кейін шетке қашады, клиент пен сервер өз алмасуларын сол ағын арқылы жүргізеді. Клиентке қажет нәрсенің бәрі, көлік түрінен сервердің тыңдаушысына дейін, осы орналасуға сай болуы керек. Сәтсіздіктердің көбін екі сәйкессіздік түсіндіреді: CONNECT проксиіне бағытталған UDP профилі және VPN қатесі деп қабылданған прокси жауабы.

Прокси нені тасымалдайды және нені тасымалдамайды

Прокси — бұл тек көлік сатысы. Ол сіздің браузер проксиіне айналмайды, туннель арқылы кіретін сайттарды кэштемайды және біреу әдейі тексеруді баптамаса, ішкі трафикті көрмейді. Ол ашатын туннель дизайн бойынша ол үшін мөлдір емес.

Бұл сондай-ақ проксидің сәйкес тыңдаушысы жоқ серверді түзете алмайтынын білдіреді. Межелі орынға жету рұқсаты мен сол орында тыңдайтын қызмет — екі бөлек факт, және тек біріншісі прокси әкімшісіне тиесілі.

Тасымалдағыш екі ұшында да TCP болуы керек

Кәдімгі CONNECT проксиі тек байт ағынын жеткізеді , сондықтан клиент ағындық көлікті пайдалануы керек. Бұл жағдайға арналған клиент үзіндісі былай көрінеді:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

Сервер жағына remote жолында аталған портта нақты TCP тыңдаушысы керек. Профильде proto udp-ді proto tcp-client-ге ауыстыру ағынды күтетін клиент жасайды; ол қарсы жақта ағынды жасамайды. Сол сервер сол портта UDP арқылы да жауап берсе, бұл басқа тыңдаушы, сол тыңдаушының екінші режимі емес.

Жеке TCP данасы бар жерде оның туннель құрылғысы, мекенжай пулы және маршруттау — өз ресурстары. Жұмыс істеп тұрған конфигурацияны көшіріп, көлік сөзін өзгерту бұл ресурстарды бастапқы данаға бағыттай береді, нәтижесінде аутентификациядан өтетін, бірақ ештеңені маршруттамайтын қосылым пайда болады.

VPN нәтижесінен бұрын прокси жауабын оқыңыз

Клиенттің бірінші алмасуы — межелі хост пен портты атайтын сұрау жолы. Сол жолға жауап байт ағынының бар-жоғын айтады және кез келген сертификат немесе тіркелгі деректері тексерілмес бұрын келеді:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

CONNECT-ке 200 сыныбындағы жауап ағынның бар екенін білдіреді. Ол шлюз сертификатының сенімділігі, ортақ кілттің сәйкестігі немесе пайдаланушы тіркелгісінің жарамдылығы туралы ештеңе айтпайды. Бұл тексерулер кейінірек, ағынның ішінде жүреді және HTTP күй жолымен емес, клиенттің өз хабарламаларымен сәтсіз аяқталады. Клиент журналынан прокси қол алысуынан кейінгі бірінші OpenVPN оқиғаны қараңыз, терезе жабылмас бұрынғы соңғы жолды емес.

Прокси тіркелгі деректері мен VPN тіркелгі деректері көбіне әр түрлі командалардағы әр түрлі сәйкестіктер. 407 — VPN тіркелгісінің нашар құпия сөзі емес, ал қабылданбаған сертификат — прокси рұқсатының мәселесі емес.

CONNECT нені ашпайды

Айқын CONNECT туннелі — бұл тыңдау емес. Прокси байттарды жеткізеді және VPN-нің TLS сессиясын аяқтамайды, сондықтан клиенттің сервер сертификатын тексеруі мағыналы болып қалады және қосулы болуы керек. Проксиден өту үшін тексеруді өшіру сіздің мәселеңізден өзге мәселені шешеді.

Ұйым TLS-ті әдейі аяқтап, тексеретін жеке реттеулер де бар. Олар өз сенім конфигурациясын және өз саясат шешімін талап етеді, және олар кәдімгі http-proxy жолы сұрайтын нәрсе емес.

TCP ішіндегі TCP құны

Туннельді TCP арқылы тасымалдау сыртқы ағынды ретті және қайта жіберілетін күйде ұстайды, ішкі трафик те әдетте TCP. Екі қалпына келтіру механизмі үйлеспейді, сондықтан бір жоғалған сегмент сол сыртқы ағынды бөлісетіннің бәрін қайта жіберілгенше тоқтата алады. Бұл үйлесімділік үшін нақты айырбас, тегін жаңарту емес.

Желі басқа жол қалдырмағанда прокси жолын пайдаланыңыз, ал саясат рұқсат ететін жерде тікелей UDP жолын қалаңыз. Қалай болғанда да, өзгерістен кейін сол прокси, межелі орын және профиль келесі кезеңге жететінін растаңыз; сол мекенжайда бетті жүктейтін браузер басқа протоколды қолданады және туннель туралы ештеңені дәлелдемейді.