TLS башкаруу каналынын ичинде жүрөт, бүт туннелде эмес

VPN сүрөттөмөсүндө TLS сөзүн көрүп, веб-прокси бул трафикти түшүнөт деп жыйынтык чыгаруу — кеңири тараган кыска жол. Бул протоколдун ичинде тараптар өз пакеттерин алмашат, ал эми TLS ошол алмашуунун ичиндеги бир каналдын бөлүгү катары иштейт. Колдонуучу үчүн маанилүү пайдалуу жүк башка билдирүү форматында жүрөт, ошондуктан экөө кадимки HTTPS сессиясы менен эч качан дал келбейт.

Алгач конверт келет

Ар бир туннелдик пакет протоколдун өз аталышынан башталат: билдирүү түрү, ачкыч идентификатору жана байт агымы транспортунда пакеттин кайда бүтөөрүн белгилеген узундук префикси. Бул конвертти талдабаган окуучу кийинки талаа кайдан башталарын биле албайт.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Бул эскиз карта, байт таблицасы эмес, анткени так талаалар билдирүү түрүнө көз каранды, бирок биринчи октет дайыма операция коду менен ачкыч идентификаторун бирге таңуулайт. Билдирүү түрүн порт номеринен божомолдоо — декодерлердин көргөнүн туура эмес атоосунун жолу. Диагностика үчүн тартип маанилүү: транспорт, анан протокол конверти, анан эки жумуш түрүнүн бири. Андан кийин эмне болорун тууралуу пикир түзүүдөн мурун конвертти окуңуз. Туура эмес жерден баштаган декодер ишенимдүү маанисиздик чыгарат.

Ишенимдүүлүк катмары протоколго таандык

Башкаруу билдирүүлөрү тартиптүү, ырасталган жеткирүүнү талап кылат, ал эми протокол муну өзү ырастоолор жана кайра жөнөтүүлөр аркылуу камсыз кылат. Ырастоо өзүнчө билдирүү катары келиши же башка башкаруу билдирүүсү менен жүрүшү мүмкүн, бул бир таза алмашууну күткөндөргө издерди туруксуз көрсөтөт.

Артыкчылыгы — тышкы транспорт UDP болсо да, TLS кол алышуусу ишенимдүү ташуучу алат. Баасы — бир датаграмма ошол сүйлөшүүнүн бир бөлүгүн гана камтый алат, ошондуктан аны өзүнчө TLS жазуусу катары кароо маанисиздик жаратат. Кайра куроо протокол деңгээлинде болушу керек. Ошондуктан кармалган пакет толук кол алышуу кадамына сейрек окшошот.

Тышкы транспортту TCPге которуу бул катмарды жок кылбайт. Ишенимдүү транспорт протокол деңгээлинде кайра жөнөтүүлөрдүн азайышын билдирет, ал эми фреймдөөнүн жок болушун же трафиктин HTTPге айланышын эмес.

Дайындар пакеттери башка форматты колдонот

Сессия болгондо, пайдалуу жүк ички IP пакеттерин же Ethernet фреймдерин алып жүргөн дайындар билдирүүлөрү катары келет. Алар өз ачкычтары жана өз иштетүүсү менен корголгон, жана TLS китепканасы кабыл ала турган эч кандай мааниде TLS колдонмо жазуулары эмес.

Бул бөлүнүү конфигурацияда көрүнөт: башкаруу каналы менен дайындар каналынын шифр жөндөөлөрү өзүнчө, ошондуктан бирин атаган журнал сабы экинчиси жөнүндө эч нерсе айтпайды. Күчтүү башкаруу шифрин күчтүү дайындар шифринин далили катары окуу — кеңири тараган отчеттук ката.

Тиешелүү туура эмес түшүнүктү да түшүндүрмөдөн сырткары калтырыңыз. TLS симметриялык дайындар каналынын жанында отурган ачык ачкыч каналы эмес, анткени ачкычтар орнотулгандан кийин TLS өз жазууларын симметриялык түрдө коргойт. Чыныгы айырма — роль жана пакет форматы, ар бир тараптын кандай криптография колдонушу эмес.

Эмне үчүн HTTPS прокси жардам бере албайт

TLSти аяктаган прокси TLS жазуулар агымын, анан анын ичиндеги колдонмо протоколун күтөт. Бул протоколдун башкаруу каналы өз фреймдөөсүнүн ичинде, айланасында ишенимдүүлүк катмары менен ташылат, ошондуктан аяктаган прокси бул фреймдөөнү бузулган кирүү катары окуйт.

Байттарды же датаграммаларды чечмелебестен өткөргөн ачык форвардер иштей алат, эгер ал агымды кайра жазбаса жана кайра курабаса. Ар кандай ортомчу жөнүндө берилүүчү суроо — ал чыныгы транспорт менен фреймдөөнү өткөрөбү, же бир жерде TLSти колдойбу эмес. Прокси эрежелерине кеч коротпостон мурун ушуну сураңыз. Бул жердеги ийгиликсиздиктердин көбү жок жөндөө эмес, архитектуралык.

Изди туура окуу

Алгач башкаруу алмашуусун, анан бир кыйла көп дайындар билдирүүлөрүн күтүңүз, экөө бир транспортту бөлүшөт. Башкаруу фазасы аяктап, дайындар фазасы токтоп калса, кемтик кол алышууга эмес, ачкычтарга, маршруттоого же дайындар жолун чыпкалоого тиешелүү. Бир нече дайындар билдирүүсүн кармап, алардын кардардан чыгарын текшериңиз. Ошол бир байкоо издөөнү экиге бөлөт.

Ачкыч ыкмаларынын тарыхый сүрөттөмөлөрү протокол документтеринде берилген чыгарылыш дагы эле бардык эски форматтарды колдойт дегенди билдирбейт. Иштеткен версияңызды текшериңиз, анан иштердин мурун кандай иштегенин сүрөттөгөн абзацка күтүү куруңуз.