VPN imblukkat fuq netwerk web biss? Aħdem is-saffi

Il-brawżer jaħdem, it-tunnel jmut. Aqra l-fażijiet ta’ ħin ta’ curl, ittestja l-proxy, iċċekkja jekk 443 huwiex tabilħaqq permess, imbagħad aqbad x’telaq mill-magna.

Netwerk ta’ kampus jew ta’ lukanda fejn il-brawżer jaħdem u kull tunnel jmut mhux problema waħda, huma erbgħa fuq xulxin. It-triq tista’ tippermetti biss TCP 443, titlob proxy awtentikat, tispezzjona l-handshake, jew sempliċement tipprojbixxi l-aċċess mill-bogħod bil-politika. Li taħdem fuqhom fl-ordni jżommok milli tixtri klijent ġdid biex issewwi regola tan-netwerk. Il-gwida t’hawn taħt tieħu madwar għaxar minuti u tintemm b’risposta miktuba dwar liema saff irrifjutak.

Ipprova liema saff jirrifjuta l-konnessjoni

Tibdiex bil-klijent VPN. Ibda bi talba HTTPS sempliċi lejn l-istess host u aqra l-fażijiet tal-ħin, għax il-fażi li tfalli tgħidlek liema tagħmir huwa responsabbli:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

L-ebda risposta u l-ebda ħin connect ifisser li TCP qatt ma tlestiet, għalhekk hemm firewall, rekwiżit ta’ proxy jew destinazzjoni ħażina fil-logħba. Ħin connect mingħajr ħin tls ifisser li xi ħaġa fin-nofs aċċettat il-konnessjoni u mbagħad waqqfet il-handshake, u hekk jidher proxy li jispezzjona mill-ġenb tal-klijent.

Issa spezzjona ċ-ċertifikat li tassew tirċievi. Dan huwa l-iktar mod mgħaġġel biex issir taf jekk qed titkellemx mas-server jew ma’ kaxxa intermedja li ffirmat is-sessjoni mill-ġdid:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Aqra l-linja tal-emittent. Is-CA tiegħek stess ifisser li wasalt għas-servizz; emittent korporattiv jew tat-tagħmir ifisser li filtru temm il-konnessjoni u qed jiddeċiedi x’jiġri wara. Irreġistra ż-żewġ output b’timbru tal-ħin, għax l-istess test siegħa wara fuq in-netwerk tal-mistednin jista’ jagħti risposta differenti.

Klijent konxju tal-proxy jbiddel l-ewwel pakkett, mhux il-politika

Jekk in-netwerk jitlob CONNECT permezz ta’ proxy awtentikat, il-klijent VPN irid jiġi mgħarraf, inkella se jipprova jiftaħ socket lejn indirizz li ma jistax jirrotta. Ittestja l-proxy separatament mill-klijent, sabiex falliment ikollu spjegazzjoni waħda:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

L-ewwel kmand jipprova li l-proxy se jġorr id-destinazzjoni. It-tieni jitlob lill-klijent juża TCP fuq 443, l-uniku trasport li ħafna mit-toroq web biss se jgħaddu xorta waħda. Jekk l-ewwel irnexxi u t-tieni xorta jfalli, il-proxy mhux l-ostaklu.

Xi klijenti jaqraw il-proxy tas-sistema operattiva minflok sostituzzjoni, u xi wħud ma jaqraw xejn. Iċċekkja d-dokumentazzjoni tal-applikazzjoni qabel ma tassumi li setting tas-sistema kollha japplika. Klijent li jissolva l-endpoint permezz ta’ resolver li l-proxy ma jservix se jfalli wkoll hawn, u għalhekk bidla fid-DNS tista’ tidher bħala tisbija meta tkun biss dawra.

Innota wkoll il-mudell tal-istering. Netwerk iffiltrat jista’ jwieġeb l-isem tal-host tad-detezzjoni ta’ fornitur b’xi ħaġa tiegħu, li jbiddel liema profil tal-proxy jaghżel il-klijent. Tibnix proċess madwar dik l-istramberija. Tvarja skont is-sit, tinbidel mingħajr avviż, u mhijiex xi ħaġa li tista’ tappoġġja għal ħadd ieħor.

Il-port 443 jintlaħaq, mhux permess

Li tgeżwer tunnel f’TLS fuq 443 issolvi l-aċċessibilità u xejn aktar. Filtru li jiċċekkja l-port se jgħaddih; filtru li jieħu l-marka tal-handshake le, u l-ħin il-ġdid tal-klijent encrypted jaħbi biss l-isem tas-server meta ż-żewġt iħrejjef jappoġġjawh. Mexxi t-test u kun af wara liema tip ta’ filtru int minflok tittama.

Hemm ukoll spiża tal-prestazzjoni li n-nies jiskopru aktar tard. Trasport affidabbli ġewwa trasport affidabbli jżid it-telf, għax il-munzell ta’ ġewwa jerġa’ jibgħat segmenti li l-munzell ta’ barra diġà bagħat mill-ġdid. Fuq konnessjoni nadifa ħadd ma jinnota. Fuq netwerk wireless tal-kampus ippakkjat it-tunnel isir inutilizzabbli eżattament meta tkun teħtieġu, u l-graff jidher bħal telf ta’ pakketti għalkemm xejn ma jiġi mwiegħed apposta.

UDP normalment ikun l-ewwel vittma, u dan jistħoqqlu konferma minflok deduzzjoni. Jekk WireGuard jew OpenVPN default qatt ma jtemm handshake waqt li TCP 443 jaħdem, in-netwerk qed iwaddab UDP, u l-ebda riġenerazzjoni ta’ ċwievet mhi se tbiddel dan:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Timbru tal-ħin vojt tal-handshake ħdejn peer li kien qed jaħdem ilbieraħ hija r-risposta tal-UDP. Iż-żewġ mistoqsijiet DNS iwieġbu mistoqsija oħra: jekk ir-resolver lokali u resolver pubbliku ma jaqblux dwar l-indirizz tal-endpoint, qed tiġi isterjat u l-argument tat-trasport huwa l-ħażin.

Ivverifika x’telaq tassew mill-magna

Il-logs tal-klijent jiddeskrivu x’jemmen il-klijent. Qbid jiddeskrivi x’raw in-netwerk, u d-differenza bejn it-tnejn hija fejn jiġu solvuti ħafna minn dawn il-każijiet:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

Jekk tara pakketti SYN u l-ebda SYN-ACK, il-blokk huwa aktar ’il fuq u l-klijent huwa innoċenti. Jekk tara handshake komplut lejn indirizz li mhuwiex tas-server, qed titkellem ma’ proxy jew interċettur. Jekk ma tara xejn, iċċekkja li qbadt fuq l-interface t-tajba qabel ma tikkonkludi xi ħaġa.

Il-lista tas-sockets taqbad każ aktar sottili: it-tieni tunnel li diġà qed iżomm ir-rotta default. Żewġ klijenti li qed jiġġieldu fuq it-tabella tar-routing jipproduċu fallimenti intermittenti li jidhru eżattament bħal netwerk imblukkat, u l-qbid se jwissi traffiku ħiereġ minn interface li ma kontx qed tistenna.

Ritratti lura, u n-nota li jistħoqqilha tinżamm

Ħassar il-bidliet bl-ordni maqluba minn kif għamiltom. Neħħi l-varjabbli tal-proxy, waqqaf il-klijent li bdejt bl-idejn, u neħħi kwalunkwe sostituzzjoni tar-rotta jew tar-resolver li żidt:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Li tħalli klijent mibdi bl-idejn għaddej huwa kif laptop jispiċċa b’netwerk miksur fiż-żjara li jmiss fl-uffiċċju. Varjabbli tal-proxy li jitħallew fi profil tas-shell ikissru għodda mhux relatata ġimgħat wara, u l-persuna li tispezzjonahom mhux se tgħaqqad iż-żewġ avvenimenti.

Imbagħad ikteb erba’ linji: in-netwerk, it-timbru tal-ħin, il-fażi li ffalliet, u l-emittent li rajt. Triq li taħdem fuq kampus wieħed u tfalli fuq dak li jmiss hija normali, u l-persuna li jmiss trid tkun taf jekk id-differenza kinitx il-proxy, ir-resolver jew il-filtru. Jekk it-tweġiba hija li n-netwerk jipprojbixxi aċċess mill-bogħod, waqaf hemm u staqsi lill-amministratur għar-rotta appoġġjata minflok ma ġġorr dawra f’politika li ma qrajtx.

Artikli relatati