TLS OpenVPN च्या आत कुठे बसतो आणि आकार काय बदलतो

OpenVPN खरोखर TLS वापरतो, आणि लोक हे नियमितपणे अशा दाव्यापर्यंत वाढवतात जो तो पेलू शकत नाही: की टनेल त्यामुळे साइटला भेट देणाऱ्या ब्राउझरसारखी दिसते. पहिला भाग खरा आहे. दुसरा नाही. येथे TLS नियंत्रण चॅनेलचा आहे जो OpenVPN च्या स्वतःच्या कंटेनरच्या आत प्रवास करतो, त्याच्या बाजूला पूर्णपणे वेगळ्या क्रिप्टोग्राफीचा पेलोड चॅनेल आहे, म्हणून जो सुरुवातीची बाइट तपासतो त्याला OpenVPN दिसतो.

एका लिफाफ्यात दोन संभाषणे

सत्राची कल्पना एक लिफाफा सामायिक करणारी दोन संभाषणे अशी करा. एक प्रमाणपत्रे सत्यापित करते आणि की सामग्री काढते. दुसरे तुम्ही खरोखर जे पाठवता ते पहिल्याने तयार केलेल्याने एन्क्रिप्ट करते.

लिफाफाच म्हणजे प्रोटोकॉल. प्रत्येक पॅकेट त्याचा प्रकार सांगणाऱ्या लहान हेडरने सुरू होते, आणि ते हेडर बाकी सर्वांपेक्षा आधी येते.

खरोखर आधी काय येते

त्या क्रमामुळे तारेवरील पहिली गोष्ट TLS रेकॉर्ड नाही. ते OpenVPN चे हेडर आहे, त्यानंतर हेडर ज्या चॅनेलची घोषणा करते त्याची सामग्री येते. तिथे ClientHello आहे, फक्त शून्य बाइटवर नाही. फरक लक्षात घेण्यासाठी कोणतेही डिक्रिप्शन लागत नाही, कारण आकार स्वतःच तो उघड करतो.

डीफॉल्टही इथे महत्त्वाचे आहेत. प्रोफाइल TCP निवडत नसेल तर प्रवाह UDP ने 1194 वर जातो. दोन्ही बाबतीत बाह्य रूप टनेल आहे, वेब विनंती नाही.

आकार बदलण्याचे तीन प्रामाणिक मार्ग

stunnel सारखा TLS टर्मिनेटर दोन्ही टोकांवर एका पोर्टवर TLS स्वीकारतो आणि डिक्रिप्ट झालेला प्रवाह स्थानिक पातळीवर OpenVPN ला देतो, म्हणून नेटवर्कला त्या पोर्टकडे TLS दिसतो. पहिल्या बाइटपासून TLS असलेला प्रोटोकॉल वेगळ्या पद्धतीने वागतो: ocserv अंमलात आणतो तो AnyConnect-सुसंगत देवघेव अनेक नेटवर्क आधीच अपेक्षित असलेल्या कॉर्पोरेट दूरस्थ प्रवेशासारखी वाटते. Windows सोबत येणारा SSTP वेगळ्या उत्पादनात तोच गुणधर्म ठेवतो.

Linux वर, SSH चा -w पर्याय SSH सत्राच्या आत बिंदू-ते-बिंदू दुवा वाहून नेतो, जो SSH हाच एकमेव अनुमत प्रोटोकॉल असताना उपयुक्त ठरतो. त्या नेटवर्कवरून SSH आधीच चालत असेल तर चारपैकी सर्वात स्वस्त, आणि नसेल तर सर्वात कमी उपयुक्त.

त्यांपैकी काहीही जे बदलत नाही

यांपैकी कोणतेही टनेल किती दूर पोहोचू शकते ते बदलत नाही. ते अवरोधित पत्ता पोहोचण्यायोग्य करत नाहीत, कोणाचेही प्रमाणीकरण करत नाहीत आणि मार्ग ठरवत नाहीत.

आवरण तुम्हाला एक घटकाचाही खर्च करते. दोन श्रोते आणि दोन कॉन्फिगरेशन फाइली म्हणजे बिघाडासाठी दोन ठिकाणे, आणि दोन्ही वापरकर्त्याच्या आसनावरून एकसारखी दिसतात. एक स्वीकारण्यापूर्वी त्याचे बजेट करा. सत्र एका गंतव्याकडे एकच दीर्घकालीन एन्क्रिप्टेड प्रवाह राहते, आणि त्याचे प्रमाण व वेळ दिसत राहतात.

आधी निदान करा, मग निवडा

म्हणून आधी निदान करा. सोडलेल्या UDP ला TCP मोड उत्तर देतो, आणि ओळखल्या गेलेल्या स्वाक्षरीला वेगळा प्रोटोकॉल किंवा आवरण उत्तर देते. अडथळा माहीत होण्यापूर्वी साधन निवडणे म्हणजे लोक शेवटी तीन स्तर सांभाळतात जे सर्व एकाच कारणाने अपयशी ठरतात.

फक्त वेब पोर्टना परवानगी देणारे नेटवर्क निवड 443 वरील TLS-आधारित प्रोटोकॉलपर्यंत संकुचित करते. तीनही एकाच वेळी लागू केल्यास कोणीही डीबग करू शकत नाही अशी स्टॅक मिळते, म्हणून एक गोष्ट बदला आणि तोच प्रवाह पुन्हा तपासा.

यांपैकी काहीही लागू न झाल्यास अचूक उत्तर हे आहे की हे नेटवर्क तुमच्यासाठी टनेल वाहून नेणार नाही. हा प्रयत्नाचा अपयश नसून शोध आहे. अधिक पर्यायांमधून फिरणे वर घेतलेला धोरण निर्णय उलटत नाही.

या सर्वांसमोर एक सीमा उभी आहे. दुसऱ्याच्या नेटवर्कवर टनेल चालवण्याची परवानगी हा धोरणाचा विषय आहे, जो यंत्रणा कार्यरत आहे की नाही यापासून वेगळा ठरतो. ही तथ्ये निरीक्षकाला काय दिसते हे स्पष्ट करतात, आणि ती परवानगी देत नाहीत.