OpenVPN HTTP прокси аркылуу: адегенде CONNECT жообун окуңуз
CONNECT прокси байттарды өткөрөт, ошондуктан эки тарапка тең TCP керек. Сертификаттарды күнөөлөөдөн мурун 407, 403 жана 503 окуңуз, серверди текшерүүнү күйүк абалда калтырыңыз.
VPN кардарын корпоративдик HTTP проксиге багыттаңыз, жана биринчи пайдалуу факт — прокси VPN протоколунда сүйлөбөйт. Ал сиз көрсөткөн дарекке кадимки TCP байланышын ачат, анан четке чегинет, кардар менен сервер өз алмашууларын ошол агым аркылуу жүргүзөт. Кардарга керек нерсенин баары, транспорт түрүнөн сервердин угуучусуна чейин, ушул жайгашууга туура келиши керек. Ийгиликсиздиктердин көбүн эки дал келбестик түшүндүрөт: CONNECT проксисине багытталган UDP профили жана VPN катасы деп туура эмес кабыл алынган прокси жообу.
Прокси эмнени ташыйт жана эмнени ташыбайт
Прокси — бул жөн гана транспорт баскычы. Ал сиздин браузер проксисине айланбайт, туннелден кирген сайттарды кэштебейт жана бирөө атайын текшерүүнү жөндөбөсө, ички трафикти көрбөйт. Ал ачкан туннел дизайн боюнча ага тунук эмес.
Бул ошондой эле прокси дал келген угуучусу жок серверди оңдой албастыгын билдирет. Бара турган жерге жетүү уруксаты менен ошол жерде уккан кызмат — эки өзүнчө факт, жана биринчиси гана прокси администраторуна таандык.
Ташуучу эки учунда тең TCP болушу керек
Кадимки CONNECT проксиси байт агымын гана өткөрөт , ошондуктан кардар агымдык транспортту колдонушу керек. Бул учур үчүн кардар үзүндүсү мындай көрүнөт:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128Сервер тарабына remote сабында аталган портто чыныгы TCP угуучусу керек. Профилде proto udp ди proto tcp-client ге алмаштыруу агымды күткөн кардарды түзөт; ал каршы тарапта агымды түзбөйт. Ошол эле сервер ошол портто UDP аркылуу да жооп берсе, бул башка угуучу, ошол эле угуучунун экинчи режими эмес.
Өзүнчө TCP экземпляры бар жерде анын туннел түзмөгү, дарек пулу жана маршруттоо — өз ресурстары. Иштеп жаткан конфигурацияны көчүрүп, транспорт сөзүн өзгөртүү бул ресурстарды баштапкы экземплярга багыттап калтырат, натыйжада аутентификациядан өтүп, анан эч нерсени маршруттабаган байланыш пайда болот.
VPN жыйынтыгынан мурун прокси жообун окуңуз
Кардардын биринчи алмашуусу — бара турган хост менен портту атаган сурам сабы. Ошол сапка жооп байт агымынын бар-жоктугун айтат жана кандайдыр бир сертификат же каттоо маалыматы текшерилгенге чейин келет:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
CONNECT ке 200 классындагы жооп агымдын бар экенин билдирет. Ал шлюз сертификатынын ишенимдүүлүгү, жалпы ачкычтын дал келиши же колдонуучу каттоосунун жарактуулугу жөнүндө эч нерсе айтпайт. Бул текшерүүлөр кийинчерээк, агымдын ичинде жүрөт жана HTTP статус сабы менен эмес, кардардын өз билдирүүлөрү менен ийгиликсиз аяктайт. Кардар журналынан прокси кол алышуусунан кийинки биринчи OpenVPN окуяны караңыз, терезе жабылганга чейинки акыркы сапты эмес.
Проксинин каттоо маалыматтары менен VPNдин каттоо маалыматтары көбүнчө ар башка командалардагы ар башка инсандар. 407 — VPN каттоосунун начар сырсөзү эмес, ал эми четке кагылган сертификат — прокси уруксатынын көйгөйү эмес.
CONNECT эмнени ачпайт
Ачык CONNECT туннели — бул угуу эмес. Прокси байттарды өткөрөт жана VPNдин TLS сессиясын бүтпөйт, ошондуктан кардардын сервер сертификатын текшерүүсү маанилүү бойдон калат жана күйүк турушу керек. Проксиден өтүү үчүн текшерүүнү өчүрүү сиздин көйгөйүңүздөн башка көйгөйдү чечет.
Уюм TLSти атайын бүтүрүп, текшере турган өзүнчө жайгашуулар да бар. Алар өз ишеним конфигурациясын жана өз саясат чечимин талап кылат, жана алар кадимки http-proxy сабы сураган нерсе эмес.
TCP ичиндеги TCP баасы
Туннелди TCP аркылуу ташуу сырткы агымды иреттүү жана кайра жөнөтүлүүчү абалда кармайт, ички трафик да адатта TCP. Эки калыбына келтирүү механизми шайкеш келбейт, ошондуктан бир жоголгон сегмент ошол сырткы агымды бөлүшкөн нерсенин баарын кайра жөнөтүлгөнгө чейин токтото алат. Бул шайкештик үчүн чыныгы алмашуу, акысыз жаңыртуу эмес.
Тармак башка жол калтырбаганда прокси жолун колдонуңуз, ал эми саясат уруксат берген жерде түз UDP жолун артык көрүңүз. Кандай болбосун, өзгөртүүдөн кийин ошол эле прокси, бара турган жер жана профиль кийинки этапка жетээрин ырастаңыз; ошол даректе барак жүктөгөн браузер башка протоколду колдонот жана туннел жөнүндө эч нерсени далилдебейт.