Liema protokolli joffri verament dan in-nodu VPN pubbliku?
Il-fatt li s-software tas-server jappoġġja protokoll ma jfissirx li dan in-nodu attivah. Iċċekkja l-endpoint, il-profil u l-fażi li verament tfalli.
Is-software jappoġġjah, għalhekk in-nodu joffrih. Din il-konklużjoni hija żbaljata spiss biżżejjed biex tkun regola: implimentazzjoni ta' SoftEther tista' tattiva kwalunkwe sottosett tal-metodi ta' konnessjoni kompatibbli tagħha, u nodu pubbliku huwa implimentazzjoni b'sid u b'konfigurazzjoni. Ma' xiex tista' tikkonnettja jiddependi minn dak in-nodu, mhux mil-lista tal-karatteristiċi tal-proġett li jmexxi. Huwa fid-distakk bejn it-tnejn li fil-fatt jgħixu ħafna mill-biljetti «il-protokoll huwa miksur».
X'jiggarantixxi verament il-lista tal-proġett
Il-funzjonijiet tal-protokoll tal-proġett jiddeskrivu x'jista' jagħmel is-server. Nodu partikolari jattiva wħud minn dawk is-semmiegħa u mhux oħrajn, u l-operatur jista' jbiddel dak is-sett mingħajr ma jmiss il-verżjoni tas-software. Għalhekk żewġ nodi fl-istess build iġibu ruħhom b'mod differenti, u profil li jaħdem kontra wieħed ma jipprova xejn dwar il-mira li jmiss. Il-lista tan-nodu nnifsu għandha aktar piż mill-paġna tal-proġett meta tagħżel fejn tikkonnettja.
Aqra l-lista bħala ħames oqsma, mhux bħala menu: endpoint, port, trasport, familja tal-protokoll u metodu ta' awtentikazzjoni. Nodu pubbliku li jirreklama SSTP qallek dwar semmiegħ fuq port; ma qallekx liema ċertifikat jippreżenta jew jekk il-kont tiegħek jaħdimx hemmhekk. Li tqabbel dawk il-ħames oqsma mal-profil tiegħek huwa aktar mgħaġġel minn kwalunkwe ammont ta' installazzjoni mill-ġdid tal-klijent, u jipproduċi aspettattiva bil-miktub li tista' tittestja aktar tard.
Qabbel il-profil mal-endpoint li jsemmi
Dħul nattiv ta' SoftEther mhuwiex awtomatikament konfigurazzjoni ta' OpenVPN, anki meta t-tnejn jidhru fuq paġna waħda tal-fornitur taħt titolu wieħed. Meta nodu jippubblika kemm semmiegħ TCP kif ukoll UDP għal OpenVPN, itrattahom bħala żewġ endpoints: profil editjat minn wieħed għall-ieħor jindika semmiegħ li ħadd ma attiva. It-tikketta tat-trasport fil-fajl hija parti mill-indirizz, mhux aġġustament kosmetiku.
Il-fatt li l-klijent jaċċetta fajl importat jistabbilixxi li l-fajl jiġi analizzat. Ma jgħid xejn dwar jekk semmiegħ remot jistenniex fit-tarf l-ieħor, u għalhekk l-ewwel attentat ta' konnessjoni huwa t-test veru. Qabbel il-linja remote tal-profil mal-host u l-port imħabbra tan-nodu qabel ma tagħti t-tort lill-protokoll.
Ittestja l-fażi li tfalli
Host li jwieġeb għat-traffiku tal-web xorta jista' jkun nieqes mis-servizz VPN maħsub, u host li jirrifjuta protokoll wieħed mhux bilfors huwa mitfi għal kulħadd. Dawn iż-żewġ żbalji jibagħtu n-nies f'direzzjonijiet opposti fl-istess wara nofsinhar. Wieħed jiġri wara firewall li huwa sew; l-ieħor jerġa' jinstalla klijent li qatt ma kien il-problema. Ittestja kull triq separatament biex it-tweġiba tiddeskrivi semmiegħ wieħed u mhux il-host kollu.
Dawn il-ħames verifiki jkopru l-metodi komuni tan-nodi pubbliċi. Mexxihom mill-istess netwerk li juża l-klijent, għax port iffiltra jidher identiku għal semmiegħ nieqes minn bogħod.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Riżultat | Fażi | X'jipprekludi |
|---|---|---|
| Konnessjoni miċħuda jew ħin skada | Trasport | Semmiegħ nieqes, iffiltra jew port żbaljat |
| Żball ta' handshake jew ta' identità TLS | Ċertifikat | Disponibbiltà tal-protokoll; is-semmiegħ wieġeb |
| AUTH_FAILED jew ċaħda tal-kont | Awtentikazzjoni | L-endpoint; il-problema hija fil-kredenzjali |
| UDP 500 u 4500 siekta | Negozjar tal-IPsec | ESP u L2TP huma mblukkati qabel l-awtentikazzjoni |
Orbot kull żball osservat mar-ringiela tiegħu qabel ma tbiddel xi ħaġa. Żball ta' identità TLS jipprova li s-semmiegħ jeżisti, għalhekk li terġa' tikteb il-profil għal protokoll ieħor jitfa' prova li taħdem. Konnessjoni miċħuda tipprova biss li dan il-port ma wieġebx, li hija dikjarazzjoni ferm aktar dejqa minn «in-nodu ma jappoġġjax OpenVPN».
Ippreserva l-iżball qabel ma tbiddel xi ħaġa
Ikteb ir-riżultat eżatt: skadenza tal-ħin, żball ta' identità taċ-ċertifikat, ċaħda tal-kont u ċaħda fil-livell tal-applikazzjoni huma erba' eżiti differenti. L-ewwel wieħed biss huwa dwar protokoll mhux disponibbli, u l-aħħar wieħed biss huwa dwar permess wara konnessjoni b'suċċess. Li tirrisettja l-klijent jew tibdel il-protokolli jeqred dak id-distinzjoni, għax in-nuqqas li jmiss jiġi b'istorja differenti u mingħajr linja bażi biex tqabbel magħha.
Tiddgħajjifx il-verifika biex profil inkompatibbli jidher li qed jaħdem. Kontroll taċ-ċertifikat itfi jibdel żball ta' identità ċar f'konnessjoni ma' xi ħaġa li ma kellekx ħsieb tilħaq, u s-suċċess li jirriżulta huwa agħar mill-iżball oriġinali għax jaħbi liema fażi kienet ħażina.
Erġa' ċċekkja għal kull nodu, kull darba
L-għażliet nattivi SSL, OpenVPN, L2TP/IPsec u SSTP fuq lista ta' nodi pubbliċi jiddeskrivu l-konfigurazzjoni ta' dak in-nodu f'dak il-mument. L-istess software x'imkien ieħor jista' jippreżenta sett differenti, u fornitur jista' jirtira semmiegħ bejn il-marka tiegħek u l-attentat li jmiss. Noti qodma jiddeskrivu implimentazzjonijiet qodma.
Irreġistra l-profil ivverifikat mal-endpoint u l-metodu tiegħu, imbagħad erġa' agħmel it-test meta n-nodu jinbidel jew il-konnessjoni tibda tfalli. L-ispeċifikazzjoni tal-protokoll SoftEther hija r-referenza għal dak li jista' jagħmel is-software; il-lista tan-nodu nnifsu hija r-referenza għal dak li jagħmel. Żomm id-dokumenti tnejn separati u d-dijanjosi ssir iqsar.