TLS OpenVPN дотор хаана байрлаж, юу хэлбэрийг өөрчилдөг

OpenVPN үнэхээр TLS ашигладаг бөгөөд хүмүүс үүнийг дааж чадахгүй мэдэгдэл болгон өргөжүүлдэг: туннель тиймээс сайт үзэж буй хөтөчтэй адил харагдана гэж. Эхний хэсэг нь үнэн. Хоёр дахь нь биш. Энд TLS нь OpenVPN-ийн өөрийн контейнер дотор явдаг хяналтын сувагт хамаардаг бөгөөд хажууд нь огт өөр криптографтай ачааны суваг байдаг тул эхний байтуудыг шалгадаг хүн OpenVPN-ийг хардаг.

Нэг дугтуйнд хоёр яриа

Сессийг нэг дугтуйг хуваалцдаг хоёр яриа гэж төсөөлөөрэй. Нэг нь гэрчилгээг шалгаж, түлхүүрийн материал гаргадаг. Нөгөө нь таны үнэхээр илгээж буй зүйлийг эхнийх нь үйлдвэрлэсэн зүйлээр шифрлэдэг.

Дугтуй нь протокол юм. Пакет бүр өөрийн төрлийг нэрлэсэн жижиг толгойгоор эхэлдэг бөгөөд тэр толгой бусад бүхнээс өмнө ирдэг.

Үнэхээр хамгийн түрүүнд юу ирдэг

Энэ дарааллаас болж утсан дээрх хамгийн эхний зүйл TLS бичлэг биш. Энэ нь OpenVPN-ийн толгой бөгөөд дараа нь толгой зарласан сувгийн агуулга ирдэг. ClientHello тэнд байдаг, зөвхөн тэг дэх байт дээр биш. Ялгааг анзаарахад ямар ч тайлалт шаардлагагүй, учир нь хэлбэр нь өөрөө үүнийг илчилдэг.

Өгөгдмөл утгууд энд ч чухал. Профайл TCP сонгохгүй бол урсгал UDP-ээр 1194 руу явна. Хоёр тохиолдолд гадаад төрх нь туннель, вэб хүсэлт биш.

Хэлбэрийг өөрчлөх гурван шударга арга

stunnel мэтийн TLS терминатор хоёр төгсгөлд нэг порт дээр TLS хүлээн авч, тайлагдсан урсгалыг локалаар OpenVPN-д өгдөг тул сүлжээ тэр порт руу TLS хардаг. Эхний байтаас TLS байдаг протокол өөрөөр ажилладаг: ocserv хэрэгжүүлдэг AnyConnect-тай нийцэх солилцоо нь олон сүлжээ аль хэдийн хүлээж буй корпорацийн алсын хандалттай төстэй. Windows-той ирдэг SSTP өөр бүтээгдэхүүнд ижил шинж чанартай.

Linux дээр SSH-ийн -w сонголт SSH сессийн дотор цэгээс цэг рүү холбоос зөөдөг бөгөөд SSH нь цорын ганц зөвшөөрөгдсөн протокол үед ашигтай. Хэрэв SSH тэр сүлжээнээс аль хэдийн ажиллаж байгаа бол дөрвөөс хамгийн хямд, ажиллахгүй бол хамгийн бага ашигтай.

Тэдгээрийн аль нь ч өөрчлөхгүй зүйл

Эдгээрийн аль нь ч туннелийн хүрч чадах хүрээг өөрчлөхгүй. Тэд хаагдсан хаягийг хүртээмжтэй болгодоггүй, хэнийг ч баталгаажуулдаггүй, маршрутыг шийддэггүй.

Боодол танд нэг бүрэлдэхүүнийг ч үнэтэй болгоно. Хоёр сонсогч, хоёр тохиргооны файл нь доголдлын хоёр газар гэсэн үг бөгөөд хоёулаа хэрэглэгчийн суудлаас ижил харагдана. Нэгийг нь авахаас өмнө үүнийг төсөвт оруулаарай. Сесс нь нэг очих газар руу нэг урт хугацааны шифрлэгдсэн урсгал хэвээр үлдэж, түүний хэмжээ, цаг хугацаа харагдах хэвээр байна.

Эхлээд оношло, дараа нь сонго

Тиймээс эхлээд оношлоорой. Хасагдсан UDP-д TCP горим хариулдаг, танигдсан гарын үсэгт өөр протокол эсвэл боодол хариулдаг. Хаалтыг мэдэхээс өмнө хэрэгсэл сонгох нь хүмүүс эцэст нь нэг шалтгаанаар бүгд бүтэлгүйтдэг гурван давхаргыг хадгалахад хүргэдэг зам юм.

Зөвхөн вэб порт зөвшөөрдөг сүлжээ сонголтыг 443 дээрх TLS-д суурилсан протокол руу нарийсгана. Гурвыг зэрэг хэрэглэвэл хэн ч дибаг хийж чадахгүй стек үүснэ, тиймээс нэг зүйлийг өөрчилж, ижил урсгалыг дахин шалгаарай.

Хэрэв аль нь ч тохирохгүй бол яг хариулт нь энэ сүлжээ танд туннель зөөхгүй гэсэн үг. Энэ нь хүчин чармайлтын бүтэлгүйтэл биш, олдвор юм. Илүү олон сонголтыг эргэлдүүлэх нь дээр гаргасан бодлогын шийдвэрийг буцаахгүй.

Энэ бүгдийн өмнө нэг хил зогсож байна. Бусдын сүлжээнд туннель ажиллуулах зөвшөөрөл нь бодлогын асуудал бөгөөд механизм ажиллаж байгаа эсэхээс тусдаа шийдэгддэг. Эдгээр баримтууд ажиглагч юу хардагийг тайлбарладаг бөгөөд тэд зөвшөөрөл өгдөггүй.