Di mana TLS berada di dalam OpenVPN, dan apa yang mengubah bentuknya

OpenVPN memang menggunakan TLS, dan orang sering meluaskannya kepada dakwaan yang tidak dapat ditanggungnya: bahawa terowong itu kelihatan seperti pelayar yang melawat tapak. Bahagian pertama benar. Yang kedua tidak. TLS di sini milik saluran kawalan yang bergerak di dalam bekas OpenVPN sendiri, bersama saluran muatan dengan kriptografi yang sama sekali berbeza, jadi sesiapa yang memeriksa bait pembukaan melihat OpenVPN.

Dua perbualan dalam satu sampul

Bayangkan sesi sebagai dua perbualan yang berkongsi satu sampul. Satu mengesahkan sijil dan memperoleh bahan kunci. Yang lain menyulitkan apa yang sebenarnya anda hantar, menggunakan apa yang dihasilkan yang pertama.

Sampul itu ialah protokol. Setiap paket bermula dengan tajuk kecil yang menamakan jenisnya, dan tajuk itu tiba sebelum apa-apa yang lain.

Apa yang sebenarnya tiba dahulu

Disebabkan susunan itu, perkara pertama pada wayar bukanlah rekod TLS. Ia ialah tajuk OpenVPN, diikuti kandungan saluran yang diumumkan tajuk itu. ClientHello wujud di dalamnya, cuma bukan pada bait sifar. Tiada penyahsulitan diperlukan untuk menyedari perbezaannya, kerana bentuknya sendiri sudah mendedahkannya.

Nilai lalai juga penting di sini. Alirannya UDP ke 1194 melainkan profil memilih TCP. Dalam kedua-dua kes rupa luaran ialah terowong dan bukan permintaan web.

Tiga cara jujur untuk mengubah bentuk

Penamat TLS seperti stunnel menerima TLS pada satu port di setiap hujung dan menyerahkan aliran yang dinyahsulit kepada OpenVPN secara setempat, jadi rangkaian melihat TLS ke port itu. Protokol yang merupakan TLS dari bait pertama berkelakuan lain lagi: pertukaran serasi AnyConnect yang dilaksanakan ocserv menyerupai akses jauh korporat yang sudah dijangka banyak rangkaian. SSTP, yang disertakan dengan Windows, mempunyai sifat yang sama dalam produk lain.

Di Linux, pilihan -w SSH membawa pautan titik-ke-titik di dalam sesi SSH, yang berguna apabila SSH ialah satu-satunya protokol yang dibenarkan. Ia yang termurah antara empat jika SSH sudah berfungsi dari rangkaian itu, dan paling kurang berguna jika tidak.

Apa yang tidak diubah oleh mana-mana daripadanya

Tiada satu pun daripada ini mengubah apa yang boleh dicapai oleh terowong. Semuanya tidak menjadikan alamat yang disekat boleh dicapai, tidak mengesahkan sesiapa, dan tidak menentukan laluan.

Pembalut juga memakan satu komponen. Dua pendengar dan dua fail konfigurasi bermakna dua tempat kegagalan, dan kedua-duanya kelihatan sama dari tempat duduk pengguna. Belanjawankan perkara itu sebelum menerima pakai satu. Sesi kekal sebagai satu aliran tersulit jangka panjang ke satu destinasi, dan isipadu serta masanya kekal kelihatan.

Diagnosis dahulu, kemudian pilih

Jadi diagnosis dahulu. UDP yang digugurkan dijawab dengan mod TCP, dan tandatangan yang dikenali dijawab dengan protokol lain atau pembalut. Memilih alat sebelum mengetahui sekatan ialah cara orang akhirnya menyelenggara tiga lapisan yang semuanya gagal atas sebab yang sama.

Rangkaian yang hanya membenarkan port web menyempitkan pilihan kepada protokol berasaskan TLS pada 443. Menggunakan ketiga-tiganya sekali gus memberikan tindanan yang tiada siapa dapat menyahpepijat, jadi ubah satu perkara dan uji semula aliran yang sama.

Jika tiada satu pun terpakai, jawapan tepat ialah rangkaian ini tidak akan membawa terowong untuk anda. Itu penemuan dan bukan kegagalan usaha. Memutar lebih banyak pilihan tidak membalikkan keputusan dasar yang dibuat di peringkat atas.

Satu sempadan berdiri di hadapan semua itu. Kebenaran menjalankan terowong pada rangkaian orang lain ialah soal dasar, diputuskan secara berasingan daripada sama ada mekanisme itu berfungsi. Fakta-fakta ini menjelaskan apa yang dilihat pemerhati, dan ia tidak memberikan kebenaran.