TLS OpenVPN ішінде қайда орналасады және пішінді не өзгертеді

OpenVPN шынымен TLS пайдаланады, ал адамдар мұны көтере алмайтын тұжырымға дейін кеңейтеді: туннель сондықтан сайтқа кіретін браузерге ұқсайды дегенге. Бірінші бөлігі рас. Екіншісі емес. Мұндағы TLS OpenVPN-нің өз контейнерінің ішінде жүретін басқару арнасына тиесілі, қасында мүлде басқа криптографиясы бар пайдалы жүктеме арнасы бар, сондықтан ашылатын байттарды тексерген адам OpenVPN көреді.

Бір конвертте екі әңгіме

Сессияны бір конвертті бөлісетін екі әңгіме деп ойлаңыз. Біреуі сертификаттарды тексереді және кілт материалын шығарады. Екіншісі шын мәнінде жіберіп жатқаныңызды біріншісі өндіргенмен шифрлайды.

Конверт — протокол. Әр пакет өз түрін атайтын кішкентай тақырыпшадан басталады, және сол тақырыпша бәрінен бұрын келеді.

Шын мәнінде бірінші не келеді

Осы реттілікке байланысты сымдағы бірінші нәрсе TLS жазбасы емес. Ол OpenVPN тақырыпшасы, одан кейін тақырыпша жариялаған арнаның мазмұны келеді. ClientHello сонда бар, тек нөлінші байтта емес. Айырмашылықты байқау үшін шифрды шешу қажет емес, өйткені пішін өзі оны әшкерелейді.

Әдепкі мәндер де осында маңызды. Профиль TCP таңдамаса, ағын 1194 портына UDP арқылы кетеді. Екі жағдайда да сыртқы көрініс туннель, веб сұраныс емес.

Пішінді өзгертудің үш адал жолы

stunnel тәрізді TLS терминаторы екі ұшта бір портта TLS қабылдайды және шифры шешілген ағынды жергілікті түрде OpenVPN-ге береді, сондықтан желі сол портқа TLS көреді. Бірінші байттан TLS болатын протокол тағы басқаша әрекет етеді: ocserv іске асыратын AnyConnect-үйлесімді алмасу көптеген желілер күтетін корпоративтік қашықтан қатынауға ұқсайды. Windows-пен келетін SSTP басқа өнімде сол қасиетке ие.

Linux-та SSH-тің -w опциясы SSH сессиясының ішінде нүктеден нүктеге байланыс тасымалдайды, бұл SSH жалғыз рұқсат етілген протокол болғанда пайдалы. Егер SSH сол желіден әлдеқашан жұмыс істесе, төртеуінің ең арзаны, ал жұмыс істемесе ең пайдасызы.

Олардың ешқайсысы нені өзгертпейді

Олардың ешқайсысы туннельдің қайда жете алатынын өзгертпейді. Олар бұғатталған мекенжайды жетімді етпейді, ешкімді аутентификацияламайды және маршруттарды шешпейді.

Қаптама сізге бір компонентті де қымбаттатады. Екі тыңдаушы және екі конфигурация файлы ақаудың екі орнын білдіреді, және екеуі де пайдаланушының орнынан бірдей көрінеді. Біреуін қабылдамас бұрын оны бюджетке қосыңыз. Сессия бір мақсатқа бір ұзақ шифрланған ағын болып қалады, және оның көлемі мен уақыты көрінетін күйінде қалады.

Алдымен диагностика, содан кейін таңдау

Сондықтан алдымен диагностика жасаңыз. Тасталған UDP-ге TCP режимі жауап береді, ал танылған қолтаңбаға басқа протокол немесе қаптама жауап береді. Бұғаттауды білместен құрал таңдау — адамдардың соңында бәрі бір себептен істен шығатын үш қабатты ұстауының жолы.

Тек веб порттарға рұқсат беретін желі таңдауды 443 портындағы TLS негізіндегі протоколға тарылтады. Үшеуін бірден қолдану ешкім жөндей алмайтын жинақ береді, сондықтан бір нәрсені өзгертіп, сол ағынды қайта сынаңыз.

Егер ешқайсысы қолданылмаса, дәл жауап — бұл желі сіз үшін туннель тасымалдамайды. Бұл күш салудың сәтсіздігі емес, табылым. Көбірек нұсқаларды айналып өту жоғарыда қабылданған саяси шешімді кері қайтармайды.

Осының бәрінің алдында бір шекара тұр. Біреудің желісінде туннель жүргізуге рұқсат — саясат мәселесі, ол механизмнің жұмыс істеуінен бөлек шешіледі. Бұл фактілер бақылаушының нені көретінін түсіндіреді және рұқсат бермейді.