Каде седи TLS внатре во OpenVPN и што ја менува формата

OpenVPN навистина користи TLS, и луѓето рутински го прошируваат тоа во тврдење што не може да го носи: дека тунелот затоа изгледа како прелистувач што посетува страница. Првиот дел е вистина. Вториот не е. TLS овде припаѓа на контролен канал што патува внатре во сопствениот контејнер на OpenVPN, покрај канал за корисен товар со сосема поинаква криптографија, така што кој ги испитува почетните бајти, гледа OpenVPN.

Два разговора во еден плик

Замислете сесија како два разговора што делат еден плик. Едниот ги проверува сертификатите и изведува клучен материјал. Другиот го шифрира тоа што навистина го праќате, користејќи го она што го создал првиот.

Пликот е протоколот. Секој пакет започнува со мало заглавие што го именува неговиот тип, и тоа заглавие пристигнува пред сѐ друго.

Што навистина пристигнува прво

Поради тој редослед, првото нешто на жицата не е TLS запис. Тоа е заглавието на OpenVPN, по што следи содржината на каналот што заглавието го објавува. ClientHello постои таму, само не на нултиот бајт. Не е потребно дешифрирање за да се забележи разликата, бидејќи формата самата ја оддава.

Стандардните вредности исто така се важни. Текот е UDP кон 1194 освен ако профилот не избере TCP. Во двата случаи надворешниот изглед е тунел, а не веб барање.

Три чесни начини да ја промените формата

TLS терминатор како stunnel прифаќа TLS на порта на двата краја и го предава дешифрираниот тек на OpenVPN локално, така што мрежата гледа TLS кон таа порта. Протокол што е TLS од првиот бајт се однесува поинаку: размената компатибилна со AnyConnect што ја спроведува ocserv наликува на корпоративниот далечински пристап што многу мрежи веќе го очекуваат. SSTP, што доаѓа со Windows, го има истото својство во друг производ.

На Linux, опцијата -w на SSH носи врска точка-до-точка во SSH сесија, што е корисно кога SSH е единствениот дозволен протокол. Таа е најевтината од четирите ако SSH веќе работи од таа мрежа, и најмалку корисна ако не работи.

Што не менува ниту една од нив

Ниту една од овие не менува до каде тунелот може да стигне. Тие не ја прават блокираната адреса достапна, не автентицираат никого и не одлучуваат за маршрути.

Обвивката ви исто така чини една компонента. Два слушатели и две конфигурациски датотеки значат две места за откажување, и двете изгледаат идентично од местото на корисникот. Предвидете го тоа пред да прифатите една. Сесијата останува еден долготраен шифриран тек кон една дестинација, а нејзиниот обем и време остануваат видливи.

Прво дијагностицирајте, потоа изберете

Затоа прво дијагностицирајте. Отфрлениот UDP се решава со TCP режим, а препознаениот потпис со друг протокол или обвивка. Изборот на алатка пред да ја знаете блокадата е начинот на кој луѓето завршуваат со одржување три слоја што сите откажуваат од истата причина.

Мрежа што дозволува само веб порти ја стеснува можноста на протокол заснован на TLS на 443. Примената на сите три одеднаш дава стек што никој не може да го отстрани, затоа сменете една работа и повторно тестирајте го истиот тек.

Ако ниту една не важи, точниот одговор е дека оваа мрежа нема да носи тунел за вас. Тоа е наод, а не неуспех на трудот. Вртењето низ повеќе опции не го поништува политичкото решение донесено погоре.

Една граница стои пред сето тоа. Дозволата да возите тунел на туѓа мрежа е прашање на политика, решено одделно од тоа дали механизмот функционира. Овие факти објаснуваат што гледа набљудувачот и не даваат дозвола.