Kur TLS atrodas OpenVPN iekšienē un kas maina formu

OpenVPN patiešām izmanto TLS, un cilvēki to ierasti paplašina līdz apgalvojumam, ko tas nevar izturēt: ka tunelis tāpēc izskatās kā pārlūks, kas apmeklē vietni. Pirmā daļa ir patiesa. Otrā nav. TLS šeit pieder vadības kanālam, kas ceļo OpenVPN paša konteinera iekšienē, līdzās kravnesības kanālam ar pilnīgi citu kriptogrāfiju, tāpēc tas, kurš pārbauda sākuma baitus, redz OpenVPN.

Divas sarunas vienā aploksnē

Iedomājieties sesiju kā divas sarunas, kas dala vienu aploksni. Viena validē sertifikātus un atvasina atslēgas materiālu. Otra šifrē to, ko jūs faktiski sūtāt, izmantojot to, ko radījusi pirmā.

Aploksne ir protokols. Katrs pakete sākas ar mazu galveni, kas nosauc tā tipu, un šī galvene pienāk pirms visa cita.

Kas faktiski pienāk pirmais

Šīs kārtības dēļ pirmā lieta uz vada nav TLS ieraksts. Tas ir OpenVPN galvene, kam seko tā kanāla saturs, kuru galvene paziņo. ClientHello tur eksistē, tikai ne nulles baitā. Lai pamanītu atšķirību, nav vajadzīga atšifrēšana, jo forma vien to nodod.

Arī noklusējuma vērtības šeit ir svarīgas. Plūsma ir UDP uz 1194, ja vien profils neizvēlas TCP. Abos gadījumos ārējais izskats ir tunelis, nevis tīmekļa pieprasījums.

Trīs godīgi veidi, kā mainīt formu

TLS terminators, piemēram, stunnel, pieņem TLS portā abos galos un nodod atšifrēto plūsmu OpenVPN lokāli, tāpēc tīkls redz TLS uz šo portu. Protokols, kas ir TLS no pirmā baita, uzvedas vēl citādi: ocserv ieviestā AnyConnect saderīgā apmaiņa atgādina uzņēmuma attālināto piekļuvi, ko daudzi tīkli jau gaida. SSTP, kas nāk ar Windows, ir ar tādu pašu īpašību citā produktā.

Linux SSH opcija -w pārvadā punktu-punktā savienojumu SSH sesijas iekšienē, kas ir noderīgi, kad SSH ir vienīgais atļautais protokols. Tā ir lētākā no četrām, ja SSH jau darbojas no šī tīkla, un vismazāk noderīgā, ja nedarbojas.

Ko neviena no tām nemaina

Neviena no tām nemaina to, ko tunelis var sasniegt. Tās nepadara bloķētu adresi sasniedzamu, neautentificē nevienu un neizlemj maršrutus.

Ietinējs jums izmaksā arī vienu komponentu. Divi klausītāji un divi konfigurācijas faili nozīmē divas kļūmes vietas, un abas izskatās vienādi no lietotāja vietas. Iekļaujiet to budžetā pirms viena ieviešanas. Sesija paliek viens ilglaicīgs šifrēts plūsma uz vienu galamērķi, un tās apjoms un laiks paliek redzami.

Vispirms diagnosticējiet, tad izvēlieties

Tāpēc vispirms diagnosticējiet. Nomests UDP tiek atbildēts ar TCP režīmu, un atpazīta paraksta gadījumā ar citu protokolu vai ietinēju. Rīka izvēle pirms bloķēšanas zināšanas ir ceļš, kā cilvēki nonāk pie trīs slāņu uzturēšanas, kuri visi neizdodas viena paša iemesla dēļ.

Tīkls, kas atļauj tikai tīmekļa portus, sašaurina izvēli līdz TLS balstītam protokolam 443 portā. Visu trīs piemērošana uzreiz dod steku, ko neviens nevar atkļūdot, tāpēc mainiet vienu lietu un vēlreiz pārbaudiet to pašu plūsmu.

Ja neviena neattiecas, precīzā atbilde ir tāda, ka šis tīkls jums tuneli nepārvadās. Tas ir atradums, nevis pūliņu neveiksme. Vairāk iespēju pārlūkošana neatceļ augstāk pieņemtu politikas lēmumu.

Viena robeža stāv visam priekšā. Atļauja darbināt tuneli kāda citā tīklā ir politikas jautājums, izlemts atsevišķi no tā, vai mehānisms darbojas. Šie fakti izskaidro, ko redz novērotājs, un tie nepiešķir atļauju.