OpenVPN permezz ta’ proxy HTTP: aqra l-ewwel it-tweġiba CONNECT

Idderieġi klijent VPN lejn proxy HTTP korporattiv, u l-ewwel fatt utli hu li l-proxy mhuwiex jitkellem il-protokoll tal-VPN. Huwa jiftaħ konnessjoni TCP ordinarja lejn l-indirizz li semmejt u mbagħad iwarrab, u jħalli lill-klijent u lis-server jagħmlu l-iskambju tagħhom stess permezz ta’ dak il-fluss. Kull ma jeħtieġ il-klijent, mit-tip tat-trasport sal-lisener tas-server, irid jaqbel ma’ dan l-arranġament. Żewġ nuqqasijiet ta’ qbil jispjegaw il-biċċa l-kbira tal-fallimenti: profil UDP indirizzat lejn proxy CONNECT, u tweġiba tal-proxy meħuda bi żball bħala żball tal-VPN.

X’iġġorr il-proxy, u x’ma jġorrx

Il-proxy huwa biss pass tat-trasport. Ma jsirx il-proxy tal-brawżer tiegħek, ma jaħżinx fil-cache is-siti li żżur permezz tal-mina, u ma jarax it-traffiku ta’ ġewwa sakemm xi ħadd ma jkunx ikkonfigura l-ispezzjoni apposta. Il-mina li jiftaħ hija opaka għalih skont id-disinn.

Dan ifisser ukoll li l-proxy ma jistax isewwi server li m’għandux lisener li jaqbel. Il-permess biex tasal f’destinazzjoni u servizz li jisma’ f’dik id-destinazzjoni huma żewġ fatti separati, u l-ewwel waħda biss tappartjeni lill-amministratur tal-proxy.

It-trasportatur irid ikun TCP fiż-żewġt trufijiet

Proxy CONNECT konvenzjonali jgħaddi biss fluss ta’ bytes , għalhekk il-klijent irid juża trasport ta’ fluss. Framment tal-klijent għal dak il-każ jidher hekk:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

In-naħa tas-server teħtieġ lisener TCP veru fuq il-port imsemmi fil-linja remote. Il-bdil ta’ proto udp għal proto tcp-client fi profil joħloq klijent li jistenna fluss; ma joħloqx il-fluss fuq in-naħa l-oħra. Jekk l-istess server iwieġeb ukoll permezz ta’ UDP fuq dak il-port, dak huwa lisener ieħor, mhux it-tieni mod tal-istess wieħed.

Fejn teżisti istanza TCP separata, it-tagħmir tal-mina tagħha, il-ġabra tal-indirizzi u r-rotot huma riżorsi tagħhom stess. L-ikkupjar ta’ konfigurazzjoni li taħdem u l-bdil tal-kelma tat-trasport iħalli dawk ir-riżorsi jindikaw lejn l-istanza oriġinali, li jipproduċi konnessjoni li tawtentika u mbagħad ma tqassamx rotot għal xejn.

Aqra t-tweġiba tal-proxy qabel ir-riżultat tal-VPN

L-ewwel skambju tal-klijent huwa linja ta’ talba li ssemmi l-host u l-port tad-destinazzjoni. It-tweġiba għal dik il-linja tgħidlek jekk jeżistix fluss ta’ bytes, u tasal qabel ma jiġi ċċekkjat xi ċertifikat jew kredenzjali:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

Tweġiba tal-klassi 200 għal CONNECT tfisser li l-fluss jeżisti. Ma tgħid xejn dwar jekk iċ-ċertifikat tal-gateway huwiex affidabbli, jekk il-kewġa maqsuma taqbilx, jew jekk il-kont tal-utent huwiex validu. Dawk il-verifiki jsiru wara, ġewwa l-fluss, u jonqsu bil-messaġġi tal-klijent stess minflok ma’ linja tal-istat HTTP. Aqra l-log tal-klijent għall-ewwel OpenVPN avveniment wara l-handshake mal-proxy, mhux l-aħħar linja qabel ma tingħalaq it-tieqa.

Il-kredenzjali tal-proxy u l-kredenzjali tal-VPN spiss ikunu identitajiet differenti f’idejn timijiet differenti. 407 mhuwiex password ħażina fuq il-kont tal-VPN, u ċertifikat miċħud mhuwiex problema ta’ permess tal-proxy.

X’ma jikxifx CONNECT

Mina CONNECT espliċita mhijiex interċettazzjoni. Il-proxy jgħaddi bytes u ma jtemmx is-sessjoni TLS tal-VPN, għalhekk il-verifika taċ-ċertifikat tas-server mill-klijent tibqa’ sinifikanti u għandha tibqa’ mixgħula. L-izgħir tal-verifika biex tgħaddi proxy jsolvi problema differenti minn tiegħek.

Jeżistu arranġamenti separati fejn organizzazzjoni ttemm u tispezzjona TLS apposta. Dawk jeħtieġu l-konfigurazzjoni tal-fiduċja tagħhom u d-deċiżjoni tal-politika tagħhom, u mhumiex dak li titlob linja http-proxy ordinarja.

L-ispiża tat-TCP ġewwa TCP

It-trasport tal-mina fuq TCP iżomm il-fluss ta’ barra ordnat u mibgħut mill-ġdid, u t-traffiku ta’ ġewwa normalment huwa TCP ukoll. Iż-żewġ mekkaniżmi tal-irkupru ma jikkoordinawx, għalhekk segment wieħed mitluf jista’ jwaqqaf kull ma jaqsam dak il-fluss ta’ barra sakemm jerġa’ jintbagħat. Dan huwa skambju reali għall-kompatibilità, mhux aġġornament b’xejn.

Uża t-triq tal-proxy meta n-netwerk ma jħallilekx alternattiva, u ppreferixxi triq UDP diretta fejn il-politika tippermetti. Fi kwalunkwe każ, wara bidla ikkonferma li l-istess proxy, destinazzjoni u profil jaslu għall-fażi li jmiss; brawżer li jgħabbi paġna f’dak l-indirizz juża protokoll ieħor u ma jipprovax xejn dwar il-mina.