OpenVPN iwwer en HTTP-Proxy: liest fir d’éischt d’CONNECT-Antwert
En CONNECT-Proxy leet Bytes weider, also brauchen déi zwou Säiten TCP. Liest 407, 403 an 503 ier Dir d’Zertifikater beschëllegt, a loosst d’Serververifikatioun un.
Richt e VPN-Client op en entreprises-HTTP-Proxy, an déi éischt nëtzlech Tatsaach ass, datt de Proxy net d’Protokoll vum VPN schwätzt. Hien opent eng gewéinlech TCP-Verbindung zu der Adress, déi Dir uginn hutt, an trëtt dann zur Säit, sou datt Äre Client an de Server hire eegenen Austausch duerch dee Stroum maachen. Alles, wat de Client brauch, vum Transporttyp bis zum Lauschter vum Server, muss zu dëser Anuerdnung passen. Zwou Onstëmmegkeeten erkläre meeschtens d’Feeler: en UDP-Profil, dee op en CONNECT-Proxy zilt, an eng Proxy-Antwert, déi fir e VPN-Fehler gehale gëtt.
Wat de Proxy dréit, a wat net
De Proxy ass just eng Transportstuf. Hie gëtt net Äre Browserproxy, hie cachéiert d’Säiten, déi Dir duerch den Tunnel besicht, net, an hie gesäit den bannenzege Verkéier net, ausser een huet bewosst eng Inspektioun ageriicht. Den Tunnel, deen hien opmécht, ass fir hien duerch den Design onduerchsichteg.
Dat heescht och, datt de Proxy e Server ouni passenden Lauschter net ka flécken. D’Erlaabnis, en Zil z’erreechen, an en Déngscht, deen op deem Zil lauschtert, sinn zwou getrennte Tatsaachen, an nëmmen déi éischt gehéiert zum Proxy-Administrateur.
Den Transportierer muss op béide Säiten TCP sinn
En übleche CONNECT-Proxy leet just e Bytestroum weider , also muss de Client en Transportstroum benotzen. En Client-Fragment fir dee Fall gesäit esou aus:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128D’Serversäit brauch en echte TCP-Lauschter op dem Port, deen an der remote-Linn genannt gëtt. proto udp an engem Profil op proto tcp-client z’änneren erstellt en Client, deen e Stroum erwaart; et erstellt de Stroum op der anerer Säit net. Wann dee selwechte Server och iwwer UDP op deem Port äntwert, ass dat en aneren Lauschter, net en zweeten Modus vum selwechten.
Wou eng separat TCP-Instanz existéiert, sinn hire Tunnelsapparat, hire Adresspool an hir Routing eegen Ressourcen. Eng funktionéierend Konfiguratioun kopéieren an d’Transportwuert änneren léisst déi Ressourcen op déi ursprénglech Instanz weisen, wat eng Verbindung ergëtt, déi sech authentifizéiert an duerno näischt routet.
Liest d’Proxy-Antwert virum VPN-Resultat
Den éischten Austausch vum Client ass eng Ufrozeil, déi den Zilhost an de Port nennt. D’Antwert op déi Zeil seet Iech, ob iwwerhaapt e Bytestroum existéiert, an se kënnt, ier en Zertifikat oder eng Umeldungsinformatioun gepréift gëtt:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
Eng Antwert vun der Klass 200 op CONNECT heescht, datt de Stroum existéiert. Se seet näischt doriwwer, ob den Zertifikat vum Gateway vertraut gëtt, ob de gemeinsame Schlëssel passt oder ob de Benotzerkont gëlteg ass. Déi Prüfungen geschéien duerno, bannent dem Stroum, an se schléien mat de Message vum Client selwer fehl, net mat enger HTTP-Statuszeil. Liest am Clientlog déi éischt OpenVPN Evenement nom Handshake mam Proxy, net déi lescht Zeil ier d’Fënster zougemaach gëtt.
Proxy-Umeldungsinformatiounen a VPN-Umeldungsinformatioune si dacks verschidden Identitéiten an den Hänn vu verschiddenen Teams. En 407 ass keen falsche Passwuert vum VPN-Kont, an en ofgeleenten Zertifikat ass kee Proxy-Berechtegungsproblem.
Wat CONNECT net opdeckt
En expliziten CONNECT-Tunnel ass keng Interceptioun. De Proxy leet Bytes weider an ennerbrieft d’TLS-Sessioun vum VPN net, dofir bleift d’Verifikatioun vum Serverzertifikat duerch de Client sënnvoll a soll un bleiwen. D’Verifikatioun ausschalten, fir un engem Proxy virbäizukommen, léist en anert Problem wéi Äert.
Et gëtt separat Reegelungen, wou eng Organisatioun TLS bewosst ennerbrieft an inspizéiert. Déi brauchen hir eege Vertrauenskonfiguratioun an hir eege Politikentscheedung, an se sinn net dat, wat eng gewéinlech http-proxy-Zeil freet.
D’Käschte vum TCP am TCP
Den Tunnel iwwer TCP ze transportéieren hält den äussere Stroum uerdent a mat Widderhuelung, an den bannenzege Verkéier ass meeschtens och TCP. Déi zwou Erhuelungsmechanismen koordinéieren sech net, dofir kann een eenzelen verluerene Segment alles stoppen, wat deen äussere Stroum deelt, bis et erëm geschéckt gëtt. Dat ass en echten Tausch fir Kompatibilitéit, keen gratis Upgrade.
Benotzt de Proxywee, wann d’Netzwierk Iech keng Alternativ léisst, a bevirzugt en direkte UDP-Wee, wou d’Politik et erlaabt. Op alle Fall bestätegt no enger Ännerung, datt dee selwechte Proxy, Zil a Profil déi nächst Etapp erreechen; e Browser, deen op där Adress eng Säit lued, benotzt en anert Protokoll a beweist näischt iwwer den Tunnel.