Зочид буудлын Wi-Fi-д OpenVPN холбогдохгүй байна уу? TCP 443-ыг туршаарай

Клиентийг нээж, Холбогдох товчийг дарж, дараа гарч ирэх харилцах цонхны оронд төлөвийн мөрийг уншаарай. Зочид буудал, кампус эсвэл гар утасны сүлжээний дараа Холбогдож байна эсвэл Серверийг хүлээж байна гэсэн төлөвт зогсдог профайл ихэвчлэн замын хаа нэгтээ тээврийн давхаргаа алдсан байдаг, нэвтрэх мэдээллээ биш. Дараагийн ашигтай алхам нь серверт хүрэхээс өмнө тэр сүлжээ юу зөөж байгааг мэдэх явдал юм. Тэр профайл өөр газар ажиллах хүртэл юу ч бүү өөрчил.

Эхлээд утасны хотспотоос туршаарай. Тэнд туннель босвол сервер, гэрчилгээ, бүртгэл бүгд зүгээр, үлдсэн цорын ганц хувьсагч бол таны өмнөх сүлжээ.

Клиентээс эхэл: төлөвийн мөрийг унш

Төлөвийн мөр аль үе шат бүтэлгүйтсэнийг хэлнэ. Холбогдож байна дээр гацсан клиент хост нэрийг шийдэж эсвэл гадаад сокетыг нээж байна; Серверийг хүлээж байна хүрсэн клиент замтай ч хариултгүй; нэвтрэлт хийсний дараа унадаг клиент огт өөр асуудалтай. Клиентийн лог болон профайлын өөрийн remote, proto талбарууд клиент юу хийх гэж байгааг харуулж, командын мөрийн клиент дээр --verb 4 мөн адил дэлгэрэнгүйг хэвлэнэ. Үүнийг өмнөх сүлжээтэй харьцуулах нь 'VPN блоклогдсон' гэдгийг тодорхой мэдэгдэл болгоно.

Дараа нь гартаа байгаа хэрэгслээр сүлжээг шалгаарай. nc -vzu 203.0.113.10 1194 UDP датаграм илгээж, curl -v telnet://203.0.113.10:443 TCP гар барилт дуусах эсэхийг мэдээлж, HTTPS хуудас ачаалсан хөтөч гадагш 443 тэр нэг хост хүрч байгааг л нотолно. Жижиг шалгалтууд VPN клиент хариулж чадахгүй зүйлд хариулна: ямар порт, ямар протокол энэ сүлжээнээс огт гардаг вэ.

Сүлжээний гурван зан төлөв клиентээс ижил харагдаж, өөр хариулт шаарддаг. Гадагш 443 нээлттэй байж болно, зөвхөн прокси зөвшөөрөгдөж болно, эсвэл 443 юу зөөж байгааг уншиж чадахгүй шалгалтын хайрцаг руу ил тод дамжуулагдаж болно. Эхнийхийг доорх профайлын өөрчлөлтөөр, хоёр дахьыг прокси тохиргоогоор засна, гурав дахь нь гар барилтыг дуусгаад шалгагч урсгалд дургүй болоход зогсож болно. Гурвын алийг нь туулж байгаагаа мэдэх нь арван минутын өөрчлөлт ба хагас өдөр клиент дахин суулгах хоёрын ялгаа юм.

Сонсгол ба профайлыг хамт зөө

Серверийн талд сонсголыг сүлжээ зөвшөөрсөнд тааруул: серверийн тохиргоонд port 443, proto tcp, дараа нь үйлчилгээг дахин эхлүүлж ss -lntp-оор сокетыг батал. Клиентийн талд профайл тохирох ёстой, учир нь тээвэр ба порт туннелиас гадна: .ovpn дотор proto tcp, port 443, эсвэл аппын тохиргооны дэлгэц дээрх харгалзах талбарууд. UDP 1194 рүү чиглэсэн хэвээр байгаа профайл өмнөх шигээ бүтэлгүйтэж, аль хэдийн зассан галт ханыг буруутгахыг хүснэ. Хэрэв мөн хост 443 дээр HTTPS-д хариулдаг бол хоёр сонсгол тэр хаяг ба протоколыг хуваалцаж чадахгүй; VPN-д хоёр дахь хаяг өг эсвэл өмнө нь демультиплексор тавь.

Эхний холболтыг хоёр үзүүрт tcpdump -ni any port 443-оор ажигла. Клиентээс гарч хэзээ ч хүрдэггүй пакетууд сүлжээ юутай ч шүүж байна, эсвэл профайл дахь хаяг таны бодсон хаяг биш гэсэн үг. Хариултгүй хүрсэн пакетууд таныг серверийн лог руу буцаана, тэнд протоколын зөрүү шууд хаягдсан пакет болж илэрнэ.

Сүлжээнээс зөвхөн прокси гардаг үед

Зарим зочны сүлжээ HTTP проксиноос өөр юуг ч зөвшөөрдөггүй, энэ нь хаалттай портоос өөр хязгаарлалт бөгөөд OpenVPN-ээс илүүг хасаж байна. Зөвхөн PPTP, L2TP/IPsec эсвэл нүцгэн IPsec ярьдаг клиентүүд түүгээр гарах замгүй, учир нь тэдгээр загвар гадаад протокол нь серверт шууд хүрнэ гэж хүлээдэг. OpenVPN чадна, клиентийн профайлд http-proxy proxy.example.net 8080 байвал, прокси таны порт руу CONNECT аргыг зөвшөөрвөл. SOCKS прокси бүр хялбар, учир нь дотор нь юу байгааг үл харгалзан урсгалыг дамжуулна.

Клиент прокси дэмжлэггүй газар 443 дээрх SSH туннель ихэвчлэн үлддэг. Энэ нь хоёр дахь давхарга нэмдэг, сүлжээний оператор үүнд саналтай байж болно, тиймээс архитектур биш, нэг аяллын гүүр гэж үзээрэй.

Нөөц замыг үлдээхээс өмнө үнийг нь тооц

TCP доторх TCP мэдэгдэхүйц үнэтэй. Гадаад холболт TCP, ачаа нь ч TCP бол алдагдсан сегмент хоёр давхаргад дахин дамжуулалт үүсгэж, дотоод холболт өөрөө харж чадахгүй алдагдалаас ухарна. Хөтлөлт үүнийг тэсвэрлэдэг; интерактив сесс, дуудлага үүнийг мэдэрдэг. TCP 443 сонсголыг шаарддаг сүлжээнд нөөц зам болгон үлдээж, UDP-г одоо ч нэвтрүүлдэг бүх зүйлд анхдагч хэвээр үлдээ.

Сонголтыг профайлын нэр болон дэмжлэгийн тэмдэглэлд бич: аль порт, аль протокол, аль сүлжээ үүнийг үүсгэсэн. Дараа нь сүлжээний администратороос дараагийн тоног төхөөрөмжийн шинэчлэлийн дараа ч тэр порт нээлттэй үлдэх эсэхийг асуу, учир нь чимээгүй алга болдог нөөц зам огт нөөц замгүйгээс дор.