OpenVPN HTTP проксигоор: эхлээд CONNECT хариуг уншина уу
CONNECT прокси байтуудыг дамжуулдаг тул хоёр талд TCP хэрэгтэй. Гэрчилгээг буруутгахаас өмнө 407, 403, 503-ыг уншиж, серверийн баталгаажуулалтыг асаалттай байлгаарай.
VPN клиентийг корпорацийн HTTP проксид чиглүүлээрэй, тэгвэл эхний ашигтай баримт бол прокси нь VPN-ийн протоколоор ярьдаггүй явдал юм. Тэр таны заасан хаяг руу энгийн TCP холболт нээгээд дараа нь хажуу тийшээ болж, клиент болон сервер өөрсдийн солилцоог тэр урсгалаар хийдэг. Клиентэд хэрэгтэй бүхэн, тээврийн төрлөөс серверийн сонсогч хүртэл, энэ зохион байгуулалтад нийцэх ёстой. Алдааны ихэнхийг хоёр зөрчил тайлбарладаг: CONNECT проксид чиглэсэн UDP профайл, мөн VPN алдаа гэж буруу ойлгогдсон проксийн хариу.
Прокси юу дамжуулдаг, юу дамжуулдаггүй
Прокси бол зөвхөн тээврийн шат. Тэр таны хөтчийн прокси болдоггүй, туннелээр зочилж буй сайтуудыг кэшлэдэггүй, хэн нэгэн санаатайгаар шалгалт тохируулаагүй л бол дотоод урсгалыг хардаггүй. Түүний нээсэн туннель нь дизайнаараа түүнд тунгалаг бус юм.
Энэ нь мөн прокси тохирох сонсогчгүй серверийг засаж чадахгүй гэсэн үг. Очих газарт хүрэх зөвшөөрөл ба тэр газарт сонсож буй үйлчилгээ нь хоёр тусдаа баримт бөгөөд зөвхөн эхнийх нь проксийн админд хамаарна.
Тээвэрлэгч хоёр талд TCP байх ёстой
Энгийн CONNECT прокси зөвхөн байтын урсгал дамжуулдаг , тиймээс клиент урсгалын тээвэр ашиглах ёстой. Тэр тохиолдлын клиентийн хэсэг ийм харагдана:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128Серверийн талд remote мөрөнд заасан порт дээр жинхэнэ TCP сонсогч хэрэгтэй. Профайлд proto udp-г proto tcp-client болгон солих нь урсгал хүлээж буй клиент үүсгэдэг; тэр нөгөө талд урсгал үүсгэдэггүй. Хэрэв ижил сервер тэр порт дээр UDP-ээр ч хариулдаг бол энэ нь өөр сонсогч, мөн сонсогчийн хоёр дахь горим биш.
Тусдаа TCP инстанц байгаа газарт түүний туннелийн төхөөрөмж, хаягийн сан, маршрутлалт нь өөрийн нөөц юм. Ажиллаж буй тохиргоог хуулж, тээврийн үгийг өөрчлөх нь тэдгээр нөөцийг анхны инстанц руу чиглүүлсэн хэвээр үлдээж, баталгаажуулалт хийгээд дараа нь юу ч маршрутладаггүй холболт үүсгэдэг.
VPN-ийн үр дүнгээс өмнө проксийн хариуг уншина уу
Клиентийн эхний солилцоо нь очих газрын хост, портыг нэрлэсэн хүсэлтийн мөр юм. Тэр мөрөнд өгөх хариу нь байтын урсгал байгаа эсэхийг хэлж, ямар ч гэрчилгээ эсвэл итгэмжлэл шалгахаас өмнө ирдэг:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
CONNECT-д 200 ангиллын хариу гэдэг нь урсгал байгаа гэсэн үг. Энэ нь гарцын гэрчилгээ итгэмжлэгдсэн эсэх, хуваалцсан түлхүүр тохирох эсэх, хэрэглэгчийн бүртгэл хүчинтэй эсэхийг хэлдэггүй. Тэдгээр шалгалт дараа нь, урсгалын дотор явагддаг бөгөөд тэд HTTP төлөвийн мөрөөр биш, клиентийн өөрийн мессежээр бүтэлгүйтдэг. Клиентийн логноос проксийн гар барилтын дараах эхний OpenVPN үйл явдлыг харна уу, цонх хаагдахаас өмнөх сүүлчийн мөрийг биш.
Проксийн итгэмжлэл ба VPN-ийн итгэмжлэл нь ихэвчлэн өөр багуудын эзэмшлийн өөр таних мэдээлэл байдаг. 407 нь VPN бүртгэлийн муу нууц үг биш, харин татгалзсан гэрчилгээ нь проксийн зөвшөөрлийн асуудал биш юм.
CONNECT юуг илрүүлдэггүй
Тодорхой CONNECT туннель нь чагналт биш. Прокси байтуудыг дамжуулж, VPN-ийн TLS сессийг дуусгадаггүй тул клиентийн серверийн гэрчилгээг шалгах нь утга учиртай хэвээр байх бөгөөд асаалттай байх ёстой. Проксиг давахын тулд шалгалтыг унтраах нь таны асуудлаас өөр асуудлыг шийддэг.
Байгууллага TLS-ийг санаатайгаар дуусгаж шалгадаг тусдаа зохицуулалтууд байдаг. Тэд өөрсдийн итгэлцлийн тохиргоо, өөрсдийн бодлогын шийдвэр шаарддаг бөгөөд тэд энгийн http-proxy мөрийн шаарддаг зүйл биш юм.
TCP доторх TCP-ийн өртөг
Туннелийг TCP-ээр дамжуулах нь гадаад урсгалыг дараалалтай, дахин дамжуулалттай байлгаж, дотоод урсгал ч ихэвчлэн TCP байдаг. Хоёр сэргээх механизм зохицдоггүй тул нэг алдагдсан сегмент нь тэр гадаад урсгалыг хуваалцаж буй бүхнийг дахин дамжуулах хүртэл зогсоож чадна. Энэ нь нийцтэй байдлын төлөө бодит солилцоо бөгөөд үнэгүй шинэчлэл биш юм.
Сүлжээ өөр арга үлдээхгүй үед проксийн замыг ашигла, бодлого зөвшөөрсөн газар шууд UDP замыг илүүд үз. Ямар ч тохиолдолд өөрчлөлтийн дараа ижил прокси, очих газар, профайл дараагийн шатанд хүрч байгаа эсэхийг баталгаажуул; тэр хаягаар хуудас ачаалж буй хөтөч өөр протокол ашигладаг бөгөөд туннелийн талаар юу ч нотолдоггүй.