വെബ് മാത്രമുള്ള നെറ്റ്‌വർക്കിൽ VPN ബ്ലോക്ക്? പാളികൾ കൈകാര്യം ചെയ്യുക

ബ്രൗസർ പ്രവർത്തിക്കുകയും ഓരോ ടണലും മരിക്കുകയും ചെയ്യുന്ന ക്യാമ്പസ് അല്ലെങ്കിൽ ഹോട്ടൽ നെറ്റ്‌വർക്ക് ഒരു പ്രശ്നമല്ല, നാല് പാളികളാണ്. പാത TCP 443 മാത്രം അനുവദിച്ചേക്കാം, സാക്ഷ്യപ്പെടുത്തിയ പ്രോക്സി ആവശ്യപ്പെടാം, ഹാൻഡ്‌ഷേക്ക് പരിശോധിച്ചേക്കാം, അല്ലെങ്കിൽ നയപ്രകാരം ദൂരസ്ഥ പ്രവേശനം വിലക്കിയേക്കാം. അവ ക്രമത്തിൽ കൈകാര്യം ചെയ്താൽ നെറ്റ്‌വർക്ക് നിയമം തിരുത്താൻ പുതിയ ക്ലയന്റ് വാങ്ങേണ്ടിവരില്ല. താഴെയുള്ള ഗൈഡ് ഏകദേശം പത്ത് മിനിറ്റ് എടുക്കും, ഏത് പാളിയാണ് നിങ്ങളെ നിരസിച്ചത് എന്ന എഴുത്തുരൂപത്തിലുള്ള ഉത്തരത്തിൽ അവസാനിക്കും.

ഏത് പാളിയാണ് കണക്ഷൻ നിരസിക്കുന്നതെന്ന് തെളിയിക്കുക

VPN ക്ലയന്റിൽ തുടങ്ങരുത്. അതേ ഹോസ്റ്റിലേക്കുള്ള സാധാരണ HTTPS അഭ്യർത്ഥനയിൽ തുടങ്ങി സമയ ഘട്ടങ്ങൾ വായിക്കുക, കാരണം പരാജയപ്പെടുന്ന ഘട്ടം ഏത് ഉപകരണമാണ് ഉത്തരവാദി എന്ന് പറയുന്നു:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

ഉത്തരവുമില്ല connect സമയവുമില്ലെങ്കിൽ TCP ഒരിക്കലും പൂർത്തിയായില്ല, അതിനാൽ ഫയർവാൾ, പ്രോക്സി ആവശ്യകത അല്ലെങ്കിൽ തെറ്റായ ലക്ഷ്യം കളിയിലുണ്ട്. connect സമയമുണ്ട് പക്ഷേ tls സമയമില്ലെങ്കിൽ നടുവിൽ എന്തോ കണക്ഷൻ സ്വീകരിച്ച് ഹാൻഡ്‌ഷേക്ക് നിർത്തി, പരിശോധിക്കുന്ന പ്രോക്സി ക്ലയന്റ് വശത്തുനിന്ന് അങ്ങനെയാണ് കാണുന്നത്.

ഇപ്പോൾ യഥാർത്ഥത്തിൽ ലഭിക്കുന്ന സർട്ടിഫിക്കറ്റ് പരിശോധിക്കുക. സർവറുമായി സംസാരിക്കുന്നുണ്ടോ അതോ സെഷന് വീണ്ടും ഒപ്പിട്ട ഇടനില പെട്ടിയുമായി എന്ന് അറിയാനുള്ള വേഗതയേറിയ വഴി ഇതാണ്:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

ഇഷ്യു ചെയ്തയാളുടെ വരി വായിക്കുക. നിങ്ങളുടെ സ്വന്തം CA എന്നാൽ സേവനത്തിൽ എത്തി; കോർപ്പറേറ്റ് അല്ലെങ്കിൽ ഉപകരണ ഇഷ്യൂവർ എന്നാൽ ഒരു ഫിൽട്ടർ കണക്ഷൻ അവസാനിപ്പിച്ച് അടുത്തത് എന്താകുമെന്ന് തീരുമാനിക്കുന്നു. രണ്ട് ഔട്ട്പുട്ടുകളും സമയമുദ്രയോടെ രേഖപ്പെടുത്തുക, കാരണം ഒരു മണിക്കൂർ കഴിഞ്ഞ് ഗസ്റ്റ് നെറ്റ്‌വർക്കിൽ അതേ പരിശോധന വേറെ ഉത്തരം നൽകിയേക്കാം.

പ്രോക്സി അറിയുന്ന ക്ലയന്റ് ആദ്യ പാക്കറ്റ് മാറ്റുന്നു, നയമല്ല

നെറ്റ്‌വർക്ക് സാക്ഷ്യപ്പെടുത്തിയ പ്രോക്സി വഴി CONNECT ആവശ്യപ്പെട്ടാൽ VPN ക്ലയന്റിനെ അറിയിക്കണം, അല്ലെങ്കിൽ റൂട്ട് ചെയ്യാൻ കഴിയാത്ത വിലാസത്തിലേക്ക് സോക്കറ്റ് തുറക്കാൻ ശ്രമിക്കും. പ്രോക്സി ക്ലയന്റിൽ നിന്ന് വേർതിരിച്ച് പരിശോധിക്കുക, പരാജയത്തിന് ഒരു വിശദീകരണം മാത്രമാകാൻ:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

ആദ്യ കമാൻഡ് പ്രോക്സി ലക്ഷ്യം വഹിക്കുമെന്ന് തെളിയിക്കുന്നു. രണ്ടാമത്തേത് ക്ലയന്റിനോട് 443-ൽ TCP ഉപയോഗിക്കാൻ ആവശ്യപ്പെടുന്നു, വെബ്-മാത്രം പാതകളിൽ ഭൂരിഭാഗവും യഥാർത്ഥത്തിൽ കൈമാറുന്ന ഏക ഗതാഗതം ഇതാണ്. ആദ്യത്തേത് വിജയിച്ച് രണ്ടാമത്തേത് ഇപ്പോഴും പരാജയപ്പെട്ടാൽ പ്രോക്സി തടസ്സമല്ല.

ചില ക്ലയന്റുകൾ ഓവർറൈഡിന് പകരം ഓപ്പറേറ്റിംഗ് സിസ്റ്റം പ്രോക്സി വായിക്കുന്നു, ചിലത് രണ്ടും വായിക്കുന്നില്ല. സിസ്റ്റം-വ്യാപക ക്രമീകരണം ബാധകമെന്ന് കരുതുന്നതിന് മുൻപ് ആപ്പിന്റെ സ്വന്തം ഡോക്യുമെന്റേഷൻ പരിശോധിക്കുക. പ്രോക്സി സേവിക്കാത്ത റിസോൾവർ വഴി എൻഡ്പോയിന്റ് പരിഹരിക്കുന്ന ക്ലയന്റും ഇവിടെ പരാജയപ്പെടും, അതുകൊണ്ടാണ് DNS മാറ്റം ഒരു വഴിതിരിവ് മാത്രമായിരിക്കുമ്പോഴും പരിഹാരമായി തോന്നുന്നത്.

സ്റ്റിയറിംഗ് പാറ്റേണും ശ്രദ്ധിക്കുക. ഫിൽട്ടർ ചെയ്ത നെറ്റ്‌വർക്ക് ഒരു വെണ്ടറുടെ കണ്ടെത്തൽ ഹോസ്റ്റ്നെയിമിന് സ്വന്തമായി എന്തെങ്കിലും ഉത്തരം നൽകിയേക്കാം, അത് ക്ലയന്റ് ഏത് പ്രോക്സി പ്രൊഫൈൽ തിരഞ്ഞെടുക്കുന്നു എന്നത് മാറ്റുന്നു. ആ വിചിത്രതയ്ക്ക് ചുറ്റും നടപടിക്രമം കെട്ടിപ്പടുക്കരുത്. അത് സ്ഥലത്തിനനുസരിച്ച് വ്യത്യാസപ്പെടുന്നു, അറിയിപ്പില്ലാതെ മാറുന്നു, മറ്റൊരാൾക്കുവേണ്ടി പിന്തുണയ്ക്കാൻ കഴിയുന്ന കാര്യമല്ല.

443 പോർട്ട് എത്തിച്ചേരാം, അനുവദിച്ചിട്ടില്ല

443-ൽ ടണൽ TLS-ൽ പൊതിയുന്നത് എത്തിച്ചേരാനുള്ള കഴിവ് പരിഹരിക്കുന്നു, മറ്റൊന്നുമില്ല. പോർട്ട് പരിശോധിക്കുന്ന ഫിൽട്ടർ അത് കടത്തിവിടും; ഹാൻഡ്‌ഷേക്കിന്റെ വിരലടയാളം എടുക്കുന്ന ഫിൽട്ടർ കടത്തിവിടില്ല, എൻക്രിപ്റ്റ് ചെയ്ത ക്ലയന്റ് അഭിവാദ്യം സർവർ നാമം മറയ്ക്കുന്നത് ഇരുവശവും പിന്തുണയ്ക്കുമ്പോൾ മാത്രമാണ്. പരീക്ഷണം നടത്തി പ്രതീക്ഷിക്കുന്നതിനുപകരം നിങ്ങൾ ഏത് തരം ഫിൽട്ടറിന് പിന്നിലാണെന്ന് അറിയുക.

ആളുകൾ പിന്നീട് കണ്ടെത്തുന്ന പ്രകടന ചെലവുമുണ്ട്. വിശ്വസനീയ ഗതാഗതത്തിനുള്ളിൽ വിശ്വസനീയ ഗതാഗതം നഷ്ടം വർദ്ധിപ്പിക്കുന്നു, കാരണം ആന്തരിക സ്റ്റാക്ക് പുറം സ്റ്റാക്ക് ഇതിനകം വീണ്ടും അയച്ച സെഗ്മെന്റുകൾ വീണ്ടും അയയ്ക്കുന്നു. ശുദ്ധമായ ലിങ്കിൽ ആരും ശ്രദ്ധിക്കുന്നില്ല. തിരക്കേറിയ ക്യാമ്പസ് വയർലെസിൽ ടണൽ ആവശ്യമുള്ള അതേ നിമിഷം ഉപയോഗശൂന്യമാകുന്നു, മനഃപൂർവം ഒന്നും വീഴ്ത്താതിരിക്കെ ഗ്രാഫ് പാക്കറ്റ് നഷ്ടം പോലെ തോന്നുന്നു.

UDP സാധാരണയായി ആദ്യ ഇരയാണ്, ഊഹിക്കുന്നതിനുപകരം അത് സ്ഥിരീകരിക്കേണ്ടതാണ്. TCP 443 പ്രവർത്തിക്കുമ്പോൾ WireGuard അല്ലെങ്കിൽ ഡിഫോൾട്ട് OpenVPN ഒരിക്കലും ഹാൻഡ്‌ഷേക്ക് പൂർത്തിയാക്കുന്നില്ലെങ്കിൽ, നെറ്റ്‌വർക്ക് UDP ഉപേക്ഷിക്കുന്നു, കീ പുനർനിർമ്മാണം അത് മാറ്റില്ല:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

ഇന്നലെ പ്രവർത്തിച്ച പിയറിന് അടുത്ത് ശൂന്യമായ ഹാൻഡ്‌ഷേക്ക് സമയമുദ്രയാണ് UDP-യുടെ ഉത്തരം. രണ്ട് DNS ചോദ്യങ്ങൾ മറ്റൊരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: പ്രാദേശിക റിസോൾവറും പൊതു റിസോൾവറും എൻഡ്പോയിന്റ് വിലാസത്തിൽ യോജിക്കുന്നില്ലെങ്കിൽ നിങ്ങളെ സ്റ്റിയർ ചെയ്യുന്നു, ഗതാഗത വാദം തെറ്റാണ്.

യന്ത്രത്തിൽ നിന്ന് യഥാർത്ഥത്തിൽ എന്ത് പുറത്തുപോയി എന്ന് പരിശോധിക്കുക

ക്ലയന്റ് ലോഗുകൾ ക്ലയന്റ് വിശ്വസിക്കുന്നത് വിവരിക്കുന്നു. ക്യാപ്ചർ നെറ്റ്‌വർക്ക് കണ്ടത് വിവരിക്കുന്നു, ഈ രണ്ടിന്റെയും വ്യത്യാസമാണ് ഈ കേസുകളിൽ ഭൂരിഭാഗവും പരിഹരിക്കുന്നിടം:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

SYN പാക്കറ്റുകൾ കാണുകയും SYN-ACK ഇല്ലാതിരിക്കുകയും ചെയ്താൽ തടയൽ മുകളിലാണ്, ക്ലയന്റ് നിരപരാധിയാണ്. സർവറിന്റേതല്ലാത്ത വിലാസത്തിലേക്ക് പൂർത്തിയായ ഹാൻഡ്‌ഷേക്ക് കണ്ടാൽ പ്രോക്സിയോ ഇടപെടുന്നവനുമായോ സംസാരിക്കുന്നു. ഒന്നും കാണുന്നില്ലെങ്കിൽ ഏതെങ്കിലും നിഗമനത്തിലെത്തുന്നതിന് മുൻപ് ശരിയായ ഇന്റർഫേസിൽ പകർത്തിയോ എന്ന് പരിശോധിക്കുക.

സോക്കറ്റ് ലിസ്റ്റ് സൂക്ഷ്മമായ ഒരു കേസ് പിടിക്കുന്നു: ഡിഫോൾട്ട് റൂട്ട് ഇതിനകം കൈവശം വെക്കുന്ന രണ്ടാം ടണൽ. റൂട്ടിംഗ് ടേബിളിനായി തർക്കിക്കുന്ന രണ്ട് ക്ലയന്റുകൾ ബ്ലോക്ക് ചെയ്ത നെറ്റ്‌വർക്കിനോട് കൃത്യമായി സാമ്യമുള്ള ഇടയ്ക്കിടെയുള്ള പരാജയങ്ങൾ ഉണ്ടാക്കുന്നു, ക്യാപ്ചർ നിങ്ങൾ പ്രതീക്ഷിക്കാത്ത ഇന്റർഫേസിലൂടെ പുറത്തുപോകുന്ന ട്രാഫിക് കാണിക്കും.

പിൻവലിക്കൽ, സൂക്ഷിക്കാൻ യോഗ്യമായ കുറിപ്പ്

മാറ്റങ്ങൾ വരുത്തിയ വിപരീത ക്രമത്തിൽ പിൻവലിക്കുക. പ്രോക്സി വേരിയബിളുകൾ നീക്കുക, കൈകൊണ്ട് ആരംഭിച്ച ക്ലയന്റ് നിർത്തുക, ചേർത്ത ഏതെങ്കിലും റൂട്ട് അല്ലെങ്കിൽ റിസോൾവർ ഓവർറൈഡ് നീക്കുക:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

കൈകൊണ്ട് ആരംഭിച്ച ക്ലയന്റ് പ്രവർത്തിക്കാൻ വിടുന്നതാണ് അടുത്ത ഓഫീസ് സന്ദർശനത്തിൽ ലാപ്ടോപ്പ് തകർന്ന നെറ്റ്‌വർക്കുമായി അവശേഷിക്കുന്ന വഴി. ഷെൽ പ്രൊഫൈലിൽ വിടുന്ന പ്രോക്സി വേരിയബിളുകൾ ആഴ്ചകൾക്ക് ശേഷം ബന്ധമില്ലാത്ത ഉപകരണങ്ങൾ തകർക്കുന്നു, അവ ഡീബഗ് ചെയ്യുന്നയാൾ രണ്ട് സംഭവങ്ങളും ബന്ധിപ്പിക്കില്ല.

എന്നിട്ട് നാല് വരി എഴുതുക: നെറ്റ്‌വർക്ക്, സമയമുദ്ര, പരാജയപ്പെട്ട ഘട്ടം, കണ്ട ഇഷ്യൂവർ. ഒരു ക്യാമ്പസിൽ പ്രവർത്തിച്ച് അടുത്തതിൽ പരാജയപ്പെടുന്ന പാത സാധാരണമാണ്, അടുത്ത വ്യക്തി വ്യത്യാസം പ്രോക്സിയോ റിസോൾവറോ ഫിൽട്ടറോ ആയിരുന്നു എന്ന് അറിയണം. ഉത്തരം നെറ്റ്‌വർക്ക് ദൂരസ്ഥ പ്രവേശനം വിലക്കുന്നു എന്നാണെങ്കിൽ, അവിടെ നിർത്തി അഡ്മിനിസ്ട്രേറ്ററിനോട് പിന്തുണയ്ക്കുന്ന പാത ചോദിക്കുക, വായിക്കാത്ത നയത്തിലേക്ക് വഴിതിരിവ് കൊണ്ടുപോകാതെ.