TLS नियंत्रण चॅनेलच्या आतून जाते, संपूर्ण बोगद्यातून नाही

VPN वर्णनात TLS हा शब्द पाहून वेब प्रॉक्सी ही रहदारी समजेल असा निष्कर्ष काढणे हा सामान्य शॉर्टकट आहे. या प्रोटोकॉलच्या आत समवयस्क आपले स्वतःचे पॅकेट बदलतात, आणि TLS त्या देवाणघेवाणीतील एका चॅनेलचा भाग म्हणून चालते. वापरकर्त्यासाठी महत्त्वाचा पेलोड वेगळ्या संदेश स्वरूपात जातो, त्यामुळे दोन्ही कधीही सामान्य HTTPS सत्राशी जुळत नाहीत.

आवरण आधी येते

प्रत्येक बोगदा पॅकेट प्रोटोकॉलच्या स्वतःच्या हेडरने सुरू होते: संदेश प्रकार, की ओळखकर्ता आणि बाइट-स्ट्रीम वाहतुकीवर पॅकेट कुठे संपते हे दर्शवणारा लांबी उपसर्ग. ते आवरण न पारखणाऱ्या वाचकाला पुढील क्षेत्र कुठे सुरू होते हे कळू शकत नाही.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

ते रेखाचित्र नकाशा आहे, बाइट तक्ता नाही, कारण अचूक क्षेत्रे संदेश प्रकारावर अवलंबून असतात, तरी पहिले ऑक्टेट नेहमी ऑपकोड आणि की ओळखकर्ता एकत्र पॅक करते. पोर्ट क्रमांकावरून संदेश प्रकाराचा अंदाज लावणे म्हणजे डिकोडर जे पाहतात त्याला चुकीचे नाव देऊ लागतात. निदानासाठी क्रम महत्त्वाचा आहे: वाहतूक, मग प्रोटोकॉल आवरण, मग दोन प्रकारच्या कामांपैकी एक. त्यानंतर काय येते याबद्दल मत बनवण्यापूर्वी आवरण वाचा. चुकीच्या जागी सुरू होणारा डिकोडर आत्मविश्वासपूर्ण निरर्थकता निर्माण करतो.

विश्वासार्हता स्तर प्रोटोकॉलचाच आहे

नियंत्रण संदेशांना क्रमबद्ध, मान्य केलेली डिलिव्हरी आवश्यक असते, आणि प्रोटोकॉल ते स्वतः मान्यता आणि पुनःप्रेषणांद्वारे पुरवते. मान्यता स्वतःचा संदेश म्हणून येऊ शकते किंवा दुसऱ्या नियंत्रण संदेशासोबत प्रवास करू शकते, ज्यामुळे एक स्वच्छ देवाणघेवाण अपेक्षिणाऱ्याला ट्रेस अनियमित दिसतात.

फायदा असा की बाह्य वाहतूक UDP असली तरी TLS हस्तांदोलनाला विश्वासार्ह वाहक मिळतो. किंमत असी की एक डेटाग्राम त्या संभाषणाचा फक्त काही भाग धारण करू शकतो, त्यामुळे त्याला स्वतंत्र TLS रेकॉर्ड म्हणून हाताळल्यास निरर्थकता निर्माण होते. पुनर्संयोजन प्रोटोकॉल स्तरावरच व्हायला हवे. म्हणूनच पकडलेला पॅकेट पूर्ण हस्तांदोलन पायरीसारखा क्वचितच दिसतो.

बाह्य वाहतूक TCP मध्ये बदलल्याने हा स्तर जात नाही. विश्वासार्ह वाहतूक म्हणजे प्रोटोकॉल पातळीवर कमी पुनःप्रेषणे, असे नाही की फ्रेमिंग नाहीशी होते किंवा रहदारी HTTP होते.

डेटा पॅकेट वेगळे स्वरूप वापरतात

सत्र अस्तित्वात असल्यावर उपयुक्त पेलोड आंतरिक IP पॅकेट किंवा Ethernet फ्रेम वाहणारे डेटा संदेश म्हणून येते. ते स्वतःच्या किल्ल्यांनी आणि स्वतःच्या प्रक्रियेने संरक्षित असतात, आणि TLS लाइब्ररी स्वीकारेल अशा कोणत्याही अर्थाने ते TLS अनुप्रयोग रेकॉर्ड नाहीत.

ती विभागणी संरचनेत दिसते: नियंत्रण चॅनेल आणि डेटा चॅनेलची स्वतंत्र सिफर सेटिंग्ज असतात, त्यामुळे एकाचे नाव घेणारी लॉग ओळ दुसऱ्याबद्दल काहीही सांगत नाही. मजबूत नियंत्रण सिफरला मजबूत डेटा सिफरचा पुरावा म्हणून वाचणे ही सामान्य अहवाल चूक आहे.

संबंधित गैरसमजही स्पष्टीकरणाबाहेर ठेवा. TLS सममितीय डेटा चॅनेलच्या बाजूला बसलेले सार्वजनिक-की चॅनेल नाही, कारण किल्ल्या स्थापित झाल्यावर TLS स्वतः त्याच्या रेकॉर्डचे सममितीय संरक्षण करते. खरा फरक भूमिका आणि पॅकेट स्वरूपाचा आहे, प्रत्येक बाजू कोणत्या प्रकारचे क्रिप्टोग्राफी वापरते हा नाही.

HTTPS प्रॉक्सी का मदत करू शकत नाही

TLS संपवणारी प्रॉक्सी TLS रेकॉर्ड प्रवाह आणि नंतर त्यातील अनुप्रयोग प्रोटोकॉलची अपेक्षा करते. या प्रोटोकॉलचे नियंत्रण चॅनेल स्वतःच्या फ्रेमिंगच्या आत, भोवती विश्वासार्हता स्तर घेऊन वाहून नेले जाते, त्यामुळे संपवणारी प्रॉक्सी ते फ्रेमिंग दूषित इनपुट म्हणून वाचते.

बाइट किंवा डेटाग्रामचा अर्थ लावल्याशिवाय पुढे पाठवणारा पारदर्शक फॉरवर्डर काम करू शकतो, जर तो प्रवाह पुन्हा लिहीत नाही किंवा पुनर्संयोजित करत नाही. कोणत्याही मध्यस्थाबद्दल विचारायचा प्रश्न असा की तो प्रत्यक्ष वाहतूक आणि फ्रेमिंग पुढे पाठवतो का, कुठेतरी TLS ला आधार देतो का हा नाही. प्रॉक्सी नियमांवर संध्याकाळ घालवण्यापूर्वी हे विचारा. येथील बहुतेक अपयशे स्थापत्यविषयक आहेत, गहाळ सेटिंग नाही.

ट्रेस योग्यरित्या वाचणे

आधी नियंत्रण देवाणघेवाण, नंतर खूप मोठ्या संख्येने डेटा संदेश अपेक्षा करा, दोन्ही एकच वाहतूक वाटून घेतात. नियंत्रण टप्पा पूर्ण झाला आणि डेटा टप्पा थांबला तर दोष हस्तांदोलनाचा नाही, किल्ल्या, मार्गनिर्देशन किंवा डेटा मार्गाच्या गाळणीशी संबंधित आहे. काही डेटा संदेश पकडा आणि ते क्लायंटमधून निघतात का ते तपासा. ते एक निरीक्षण शोध अर्ध्यात विभागते.

किल्ली-पद्धतींची ऐतिहासिक वर्णने प्रोटोकॉल दस्तऐवजीकरणात दिलेली आवृत्ती अजूनही प्रत्येक जुने स्वरूप समर्थित करते असा अर्थ देत नाहीत. तुम्ही चालवत असलेली आवृत्ती तपासा, मग गोष्टी पूर्वी कशा चालत असत ते वर्णन करणाऱ्या परिच्छेदावर अपेक्षा बांधू नका.