TLS удирдлагын сувгийн дотор явдаг, бүх туннелээр биш

VPN-ийн тайлбарт TLS гэдэг үгийг харж, вэб прокси энэ трафикийг ойлгоно гэж дүгнэх нь түгээмэл богино зам юм. Энэ протоколын дотор талууд өөрсдийн пакетуудыг солилцож, TLS нь тэр солилцооны нэг сувгийн хэсэг болж ажилладаг. Хэрэглэгчид чухал ачаалал өөр мессежийн форматтай явдаг тул хоёр нь энгийн HTTPS сессэй хэзээ ч тохирохгүй.

Эхлээд дугтуй ирдэг

Туннелийн пакет бүр протоколын өөрийн толгойгоор эхэлдэг: мессежийн төрөл, түлхүүрийн танигч, байт урсгалын тээвэрт пакет хаана дуусахыг тэмдэглэсэн уртын угтвар. Тэр дугтуйг шинжлэхгүй уншигч дараагийн талбар хаана эхлэхийг мэдэхгүй.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Тэр ноорог нь газрын зураг, байт хүснэгт биш, учир нь нарийн талбарууд мессежийн төрлөөс хамаардаг, гэхдээ эхний октет үргэлж үйлдлийн код ба түлхүүрийн танигчийг хамт багцалдаг. Портын дугаараас мессежийн төрлийг таамаглах нь декодчид харж байгаа зүйлээ буруу нэрлэх зам юм. Оношилгоонд дараалал чухал: тээвэр, дараа нь протоколын дугтуй, дараа нь хоёр төрлийн ажлын нэг. Дараа нь юу ирэхийг дүгнэхээс өмнө дугтуйг уншина уу. Буруу газраас эхэлсэн декодч итгэлтэй утгагүй зүйл гаргадаг.

Найдвартай байдлын давхарга нь протоколд хамаарна

Удирдлагын мессежүүдэд эрэмбэтэй, баталгаажсан хүргэлт хэрэгтэй бөгөөд протокол үүнийг өөрөө баталгаажуулалт ба дахин илгээлтээр хангадаг. Баталгаажуулалт нь тусдаа мессежээр ирэх эсвэл өөр удирдлагын мессежтэй хамт явах боломжтой бөгөөд энэ нь нэг цэвэр солилцоо хүлээж буй хүмүүст ул мөрийг жигд бус харагдуулдаг.

Давуу тал нь гадаад тээвэр UDP байсан ч TLS гар барилт найдвартай тээгч авдаг. Үнэ нь нэг датаграм тэр ярианы зөвхөн нэг хэсгийг агуулж болох тул түүнийг бие даасан TLS бичлэг гэж үзэх нь утгагүй зүйл үүсгэдэг. Дахин угсралт протоколын давхаргад явагдах ёстой. Тиймээс барьж авсан пакет бүрэн гар барилтын алхам шиг ховор харагддаг.

Гадаад тээврийг TCP руу сэлгэх нь энэ давхаргыг арилгахгүй. Найдвартай тээвэр гэдэг нь протоколын түвшинд дахин илгээлт багасахыг хэлнэ, фрейминг алга болох эсвэл трафик HTTP болохыг биш.

Өгөгдлийн пакетууд өөр формат хэрэглэдэг

Сесс үүссэний дараа ашигтай ачаалал дотоод IP пакет эсвэл Ethernet фрейм зөөсөн өгөгдлийн мессеж хэлбэрээр ирдэг. Тэдгээр нь өөрийн түлхүүр, өөрийн боловсруулалтаар хамгаалагдсан бөгөөд TLS номын сан хүлээн зөвшөөрөх ямар ч утгаар TLS програмын бичлэг биш.

Тэр тусгаарлалт тохиргоонд харагдана: удирдлагын суваг ба өгөгдлийн суваг тусдаа шифрийн тохиргоотой тул нэгийг нэрлэсэн логоны мөр нөгөөгийн талаар юу ч хэлэхгүй. Хүчтэй удирдлагын шифрийг хүчтэй өгөгдлийн шифрийн баталгаа гэж унших нь түгээмэл тайлангийн алдаа юм.

Холбоотой буруу ойлголтыг ч тайлбараас гадуур байлга. TLS нь тэгш хэмт өгөгдлийн сувгийн хажууд суух нийтийн түлхүүрийн суваг биш, учир нь түлхүүр тогтоосны дараа TLS өөрөө бичлэгээ тэгш хэмтэйгээр хамгаалдаг. Жинхэнэ ялгаа нь үүрэг ба пакетын формат, тал бүр ямар төрлийн криптографи ашиглах нь биш.

Яагаад HTTPS прокси туслахгүй вэ

TLS-ийг дуусгадаг прокси TLS бичлэгийн урсгал, дараа нь түүний дотор програмын протокол хүлээдэг. Энэ протоколын удирдлагын суваг өөрийн фреймингийн дотор, эргэн тойронд найдвартай байдлын давхаргатай зөөгддөг тул дуусгадаг прокси тэр фреймингыг гэмтсэн оролт гэж уншдаг.

Байт эсвэл датаграмыг тайлбарлахгүйгээр дамжуулдаг ил тод дамжуулагч ажиллаж болно, хэрэв урсгалыг дахин бичихгүй, дахин угсрахгүй бол. Аливаа зуучлагчийн талаар асуух асуулт нь тэр бодит тээвэр ба фреймингийг дамжуулж байна уу, хаа нэгтээ TLS дэмждэг үү гэдэг биш. Прокси дүрэмд орой зарцуулахаас өмнө үүнийг асуу. Эндхийн ихэнх бүтэлгүйтэл нь дутуу тохиргоо биш, архитектурын шинжтэй.

Ул мөрийг зөв унших

Эхлээд удирдлагын солилцоо, дараа нь хамаагүй олон өгөгдлийн мессеж ирнэ, хоёулаа нэг тээврийг хуваалцана. Удирдлагын үе шат дуусч, өгөгдлийн үе шат гацвал алдаа нь гар барилт биш, түлхүүр, чиглүүлэлт эсвэл өгөгдлийн замын шүүлтэд хамаарна. Хэдэн өгөгдлийн мессеж барьж, тэдгээр клиентээс гарч байгаа эсэхийг шалга. Тэр нэг ажиглалт хайлтыг хагасалдаг.

Түлхүүрийн аргуудын түүхэн тайлбарууд протоколын баримт бичигт өгөгдсөн хувилбар бүх хуучин форматыг дэмждэг хэвээр гэсэн үг биш. Ажиллуулж буй хувилбараа шалгасны дараа зүйлс өмнө нь хэрхэн ажиллаж байсныг тайлбарласан догол мөрөнд хүлээлт бүү байгуул.