Wou TLS an OpenVPN sëtzt, a wat d’Form ännert

OpenVPN benotzt wierklech TLS, an d’Leit dehnen dat routineméisseg op eng Behauptung aus, déi et net kann droen: datt en Tunnel dofir wéi e Browser ausgesäit, deen eng Säit besicht. Den éischten Deel ass richteg. Den zweeten net. TLS hei gehéiert zu engem Steierkanal, dee bannent dem OpenVPN sengem eegene Container reest, nieft engem Notzlaaschtkanal mat ganz anerer Kryptographie, also deen, deen déi éischt Byte ënnersicht, gesäit OpenVPN.

Zwee Gespréicher an engem Enveloppe

Denkt un eng Sessioun als zwee Gespréicher, déi en Enveloppe deelen. Eent validéiert Zertifikater a leet Schlësselmaterial of. Dat anert verschlësselt, wat dir tatsächlech schéckt, mat deem, wat dat éischt produzéiert huet.

Den Enveloppe ass de Protokoll. All Paket fänkt mat engem klengen Header un, deen säin Typ nennt, an deen Header kënnt virun allem aneren.

Wat tatsächlech als éischt ukënnt

Wéinst dëser Reiefolleg ass dat éischt um Kabel keen TLS-Record. Et ass den Header vun OpenVPN, duerno de Contenu vun deem Kanal, deen den Header annoncéiert. E ClientHello existéiert do, just net am Byte null. Et brauch keng Decryptioun, fir den Ënnerscheed ze bemierken, well d’Form eleng en verroden.

Standardwäerter zielen hei och. De Flux ass UDP op 1194, ausser de Profil wielt TCP. An allen zwou Fäll ass d’baussenzeg Erscheinung en Tunnel an net eng Web-Ufro.

Dräi éierlech Weeër, fir d’Form ze änneren

En TLS-Terminator wéi stunnel akzeptéiert TLS op engem Port op all Enn a gëtt de entschlësselte Stroum lokal un OpenVPN weider, dofir gesäit den Netz TLS op dee Port. E Protokoll, dee vum éischte Byte u TLS ass, verhält sech nach eng Kéier anescht: den AnyConnect-kompatiblen Austausch, deen ocserv ëmsetzt, gläicht dem Firmen-Fernzougrëff, deen vill Netzer schonn erwaarden. SSTP, dat mat Windows kënnt, huet déiselwecht Eegenschaft an engem anere Produkt.

Op Linux dréit dem SSH seng -w-Optioun eng Punkt-zu-Punkt-Verbindung bannent enger SSH-Sessioun, wat nëtzlech ass, wann SSH deen eenzege erlaabte Protokoll ass. Et ass dee bëllegsten vun de véier, wann SSH schonn aus deem Netz funktionéiert, an dee mannst nëtzlechen, wann net.

Wat keng vun hinnen ännert

Keng vun dësen ännert, wat den Tunnel ka erreechen. Si maachen eng gespaart Adress net erreichbar, si authentifizéieren keen a si entscheeden keng Routen.

En Ëmhëllef kascht dir och eng Komponent. Zwee Lauschterer an zwee Konfiguratiounsfichieren bedeiten zwou Plaze fir e Feeler, an déi zwou gesinn identesch aus vum Sëtz vum Benotzer. Budgetéiert dat, ier dir eng adoptéiert. D’Sessioun bleift en eenzegen laangliewege verschlësselte Flux op een Zil, an hire Volume an hir Zäit bleiwen sichtbar.

Als éischt diagnostizéieren, dann auswielen

Also diagnostizéiert als éischt. Verluerene UDP gëtt vum TCP-Modus beäntwert, an eng erkannt Signatur gëtt vun engem anere Protokoll oder enger Ëmhëllef beäntwert. En Instrument auswielen, ier dir d’Blockade kennt, ass wéi d’Leit um Enn dräi Schichte ënnerhalen, déi all aus dem selwechte Grond feelen.

En Netz, dat nëmmen Web-Ports erlaabt, verengt d’Wiel op e Protokoll op Basis vun TLS op 443. All dräi gläichzäiteg unzewenden gëtt eng Stack, déi keen debugge kann, also ännert eng Saach a test deeselwechte Flux nach eng Kéier.

Wann keng dovun zoutrëfft, ass déi korrekt Äntwert, datt dëst Netz keen Tunnel fir Iech dréit. Dat ass eng Feststellung an net en Echec vum Effort. Méi Optiounen duerchzegoen hëlt eng politesch Entscheedung, déi weider uewen getraff gouf, net zeréck.

Eng Grenz steet virun allem. D’Erlaabnis, en Tunnel op engem anere sengem Netz ze bedreiwen, ass eng Politikfro, decidéiert getrennt dovun, ob de Mechanismus funktionéiert. Dës Fakten erklären, wat en Observateur gesäit, an si ginn keng Erlaabnis.