OpenVPN fuq 443 għadu mblukkat? Iċċekkja x’jispezzjona n-netwerk

It-tunnel jgħaqqad minn linja tad-dar u joqgħod f’netwerk ta’ lukanda jew uffiċċju, u t-tmexxija tas-server għall-port 443 ma biddlet xejn. Dan ir-riżultat huwa komuni biżżejjed biex ikollu forma: il-port kien il-parti faċli, u l-bqija tad-deċiżjoni tappartjeni għal kull ma joqgħod bejn il-klijent u s-server. Żewġ mistoqsijiet jsolvu l-biċċa l-kbira tal-każijiet, u ebda wieħed minnhom mhu dwar iċ-ċifrari. In-netwerk jaċċetta handshake TLS lejn dak l-indirizz, u l-klijent iżomm rotta lejn it-tgeżwir tiegħu stess waqt li t-tunnel huwa miftuħ?

Il-handshake jikxef aktar min-numru

Xandara VPN nattiv fuq TCP 443 jitkellem il-protokoll tiegħu stess mill-ewwel pakkett. ClientHello għandu qasam tal-verżjoni, valur każwali u lista ta’ estensjonijiet, u apparat li jaqra ftit mijiet ta’ bytes jista’ jara d-differenza mingħajr ma jiddeċifra xejn. In-numri tal-port huma rħas biex jiġu sodisfatti, u l-forma tal-protokoll hija dik li l-filtru verament jiċċekkja. Ir-regoli normalment jinkitbu wkoll skont il-protokoll, għalhekk politika li tispezzjona TLS ma tgħid xejn dwar UDP.

Proxy trasparenti li jinsisti fuq sessjoni TLS valida jaqta’ l-konnessjoni waqt it-twaqqif, spiss wara li l-handshake TCP jitlesta. Dak id-dettall huwa importanti aktar tard, għax ifisser li l-log tal-klijent jieqaf wara li s-sokit jiġi stabbilit.

L-involviment tal-fluss joħloq żewġ punti ta’ falliment

Tgeżwir TLS bħal stunnel jerġa’ jġib il-forma mistennija: il-klijent jgħaqqad ma’ xandara lokali, it-tgeżwir jiftaħ sessjoni TLS vera lejn is-server fuq 443, u t-tieni tgeżwir fuq is-server jgħaddi l-bytes deċifrati lid-daemon VPN. Is-sessjoni ta’ barra issa tidher bħal kull konnessjoni HTTPS oħra. Id-daemon VPN fuq is-server għandu jisma’ biss fuq loopback, għax xejn barra t-tgeżwir m’għandu bżonn jilħqu.

Tliet affarijiet separati għandhom jaqblu għal dak id-disinn. Il-profil tal-klijent jindika lejn ix-xandara lokali, iċ-ċertifikat tas-server jaqbel mal-isem li l-klijent jivverifika, u l-ġarr mill-ġdid fuq in-naħa tas-server jimmiraw lejn il-port li d-daemon verament juża. Żbalja f’waħda minnhom u l-konnessjoni tmut qabel ma tintlaħaq is-saff VPN. Imbagħad diskrepanza fiċ-ċertifikat tidher bħala żball tat-tgeżwir u mhux bħala żball VPN, u għalhekk ta’ min jaqra ż-żewġ logs spalla ma’ spalla.

Ir-rotta lejn it-tgeżwir hija n-nassa

Malli t-tunnel jitla’, ir-rotta awtomatika tindika fih, u s-sessjoni TLS ta’ barra teħtieġ triq li ma tidħolx fit-tunnel li qed iġġorr. Klijent VPN ordinarju jipproteġi l-indirizz li jċempel; klijent imgeżwer iċempel il-loopback tiegħu stess, għalhekk l-indirizz tad-destinazzjoni tat-tgeżwir huwa inviżibbli għal dik il-protezzjoni.

sudo ip route add 198.51.100.20 via 192.168.0.1
sudo openvpn --config client.ovpn
sudo ip route del 198.51.100.20

L-indirizzi eżatti timlihom int, u r-rotta trid teżisti għall-ħajja kollha tal-konnessjoni, mhux biss fil-bidu. Skript tat-tgeżwir żgħir li jżid ir-rotta qabel il-klijent u jneħħiha wara huwa aktar affidabbli minn kmand imfakkar.

Fuq Android, l-ekwivalenti ta’ dik l-eċċezzjoni hija setting għal kull app: eskludi l-app tat-tgeżwir mit-tunnel sabiex it-traffiku tagħha stess joħroġ mill-konnessjoni mobbli. Mingħajr l-esklużjoni t-tgeżwir jiġi dirett fit-tunnel li qed jipprova jibni, u ċ-ċiklu ta’ qbil mill-ġdid jidher bħala problema tas-server.

Aqra t-twaqqit qabel tibdel xejn

Sessjoni li tmut wara l-istess intervall kull darba hija firma ta’ politika u mhux falliment kriptografiku, u limiti tal-fluss fit-tul jipproduċu eżatt dak il-mudell. Konnessjoni li tiġi rrisettjata minnufih wara l-handshake tissuġġerixxi proxy li ma għoġbux il-katina taċ-ċertifikati.

Qabbel il-ħarrieġ taċ-ċertifikat ta’ sit HTTPS ordinarju miż-żewġ netwerks. Jekk il-ħarrieġ huwa differenti fuq in-netwerk ristrett, xi ħaġa qed ttemm TLS fin-nofs, u ebda tgeżwir mhu se jgħaddi minn dak l-interċettazzjoni bla tibdil. L-istess tqabbil jgħidlek jekk il-blokk huwiex immirat lejn l-isem tas-server tiegħek jew lejn kull sessjoni TLS f’dak l-indirizz.

Ikteb l-imġiba osservata: kemm iddum is-sessjoni, jekk is-sokit infetaħx, jekk it-tgeżwir iddokumentax handshake. Kull wieħed minnhom jidjieq it-test li jmiss.

Ipprova varjabbli wieħed kull darba

Iċċekkja UDP l-ewwel, għax xi netwerks jarmuh għal kollox u falliment UDP ma jgħid xejn dwar 443. Imbagħad ipprova TCP 443 mingħajr it-tgeżwir, imbagħad it-tgeżwir fuq 443. Aqra l-log tal-klijent f’kull pass u waqaf hekk kif l-imġiba tinbidel.

Biddel element wieħed għal kull prova. Port ġdid, tgeżwir ġdid u ċifrar ġdid fl-istess ġirja jħalluk ma tistax tgħid liema mit-tlieta kien importanti.