TLS OpenVPNдин ичинде кайда турат жана форманы эмне өзгөртөт

OpenVPN чынында TLS колдонот, жана адамдар муну көтөрө албаган ырастоого чейин кеңейтишет: туннель ошондуктан сайтка кирген браузерге окшош дегенге. Биринчи бөлүгү туура. Экинчиси эмес. Бул жердеги TLS OpenVPNдин өз контейнеринин ичинде жүргөн башкаруу каналына таандык, жанында таптакыр башка криптографиясы бар пайдалуу жүк каналы бар, ошондуктан ачылыш байттарын текшерген адам OpenVPN көрөт.

Бир конвертте эки маек

Сессияны бир конвертти бөлүшкөн эки маек деп элестетиңиз. Бири сертификаттарды текшерип, ачкыч материалын алат. Экинчиси чынында эмне жөнөтүп жатканыңызды биринчиси өндүргөн нерсе менен шифрлейт.

Конверт — протокол. Ар бир пакет өз түрүн атаган кичинекей аталыштан башталат, жана ал аталыш башканын баарынан мурун келет.

Чынында биринчи эмне келет

Ушул тартиптен улам зымдагы биринчи нерсе TLS жазуусу эмес. Бул OpenVPNдин аталышы, андан кийин аталыш жарыялаган каналдын мазмуну келет. ClientHello ошол жерде бар, бирок нөлүнчү байтта эмес. Айырманы байкоо үчүн эч кандай чечмелөө керек эмес, анткени форма өзү аны ачып берет.

Демейки маанилер бул жерде да маанилүү. Профиль TCP тандабаса, агым 1194 портуна UDP аркылуу кетет. Эки учурда тең сырткы көрүнүш туннель, веб сурам эмес.

Форманы өзгөртүүнүн үч ак ниет жолу

stunnel сыяктуу TLS терминатору эки учта тең бир портто TLS кабыл алат жана чечмеленген агымды жергиликтүү түрдө OpenVPNге берет, ошондуктан тармак ошол портка TLS көрөт. Биринчи байттан эле TLS болгон протокол дагы башкача жүрөт: ocserv ишке ашырган AnyConnect-шайкеш алмашуу көп тармактар күткөн корпоративдик алыскы кирүүгө окшош. Windows менен келген SSTP башка продуктада ошол эле касиетке ээ.

Linuxта SSHнин -w опциясы SSH сессиясынын ичинде чекиттен чекитке байланышты ташыйт, бул SSH жалгыз уруксат берилген протокол болгондо пайдалуу. Эгер SSH ошол тармактан мурун эле иштесе, төртөөнүн эң арзаны, иштебесе эң пайдасызы.

Алардын эч бири эмнени өзгөртпөйт

Булардын эч бири туннелдин кайда жете аларын өзгөртпөйт. Алар бөгөттөлгөн даректи жеткиликтүү кылбайт, эч кимди аутентификациялабайт жана маршруттарды чечпейт.

Каптоо сизге бир компонентти да кымбат кылат. Эки угуучу жана эки конфигурация файлы бузулуунун эки ордун билдирет, жана экөө тең колдонуучунун ордунан бирдей көрүнөт. Бирөөнү кабыл алардан мурун аны бюджетке кошуңуз. Сессия бир максатка бир узак шифрленген агым бойдон калат, жана анын көлөмү менен убактысы көрүнүп турат.

Алгач диагностика, анан тандоо

Ошондуктан алгач диагностика жасаңыз. Ташталган UDPге TCP режими жооп берет, ал эми таанылган кол тамгага башка протокол же каптоо жооп берет. Бөгөттү билбестен курал тандоо — адамдардын акырында баары бир себептен иштебей калган үч катмарды кармап калышынын жолу.

Бир гана веб портко уруксат берген тармак тандоону 443төгү TLS негизиндеги протоколго чейин куушурат. Үчөөнү тең бир убакта колдонуу эч ким оңдой албаган катмарды берет, ошондуктан бир нерсени өзгөртүп, ошол эле агымды кайра сынаңыз.

Эгер алардын эч бири колдонулбаса, так жооп — бул тармак сиз үчүн туннель ташыбайт. Бул аракеттин ийгиликсиздиги эмес, табылга. Көбүрөөк варианттарды айланта өтүү жогоруда кабыл алынган саясий чечимди артка кайтарбайт.

Мунун баарынын алдында бир чек турат. Башка бирөөнүн тармагында туннель жүргүзүүгө уруксат — саясат маселеси, ал механизмдин иштешине байланышпастан өзүнчө чечилет. Бул фактылар байкоочунун эмнени көрөрүн түшүндүрөт жана уруксат бербейт.