Kvifor eit VPN-adapternamn kan skjule ein annan protokoll
Etiketten ved sida av ein adapter skildrar programvara som oppretta han, ikkje pakkane på nettet. Kontroller klienten, profilen og motparten før du vel ei løysing.
Etiketten ved sida av ein VPN-adapter skildrar programvara som oppretta grensesnittet, og det er eitt lag over pakkane som faktisk kryssar nettverket. Eit programtillegg kan visa ein adapter der namnet speglar klassifiseringa til programtillegget sjølv i staden for innkapslinga på nettet. Å lesa klienten, profilen og motparten svarar på det namnet ikkje kan. To tilkoplingar som ser identiske ut i ein innstillingsmeny, kan oppføra seg heilt ulikt i eit opptak.
Namnet kjem frå leverandøren, ikkje frå nettet
Windows definerer ei kort liste over tilkoplingstypar for dei innebygde VPN-klientane sine, og produkt frå tredjepartar installerar sin eigen stakk ved sida av. Adapteren som visest i nettverkslista, blir oppretta av drivaren som eig tilkoplinga, så namnet er prov om drivaren, ikkje ei garanti om den ytre protokollen. Det er også grunnen til at avinstallering av éin klient kan etterlata eit adapternamn.
Dokumentasjonen til Microsoft om VPN-tilkoplingstypar er tydeleg på at typen skildrar konfigurasjonen til klienten for den tilkoplinga. Når eit programtillegg er involvert, følgjer den viste typen det programtillegget registrerer, og den faktiske innkapslinga kan vera noko heilt anna.
Den same lagdelinga finst andre stader. Ein virtuell adapter på ein Linux-vert, ei TAP-eining eller ei utviding for mobil VPN-teneste er alle grensesnitt oppretta av programvare, og grensesnittnamnet blir valt av den programvara i staden for å bli forhandla med tenaren.
Kva portar og adresser kan og ikkje kan fortelja deg
Kvart lag etterlèt ulike prov. Les dei kvar for seg, og ein etikett sluttar å vera ein dom:
| Evidence | What it establishes | Where it misleads |
|---|---|---|
| Adapter name | Which driver bound the interface | Plugins choose their own labels |
| Profile file | Which client consumes the configuration | Abstraction layers hide the transport |
| Outer port | Which port the peer accepts | 443 carries several protocols plus HTTPS |
| Tunnel address | The inner interface's network | Says nothing about encapsulation |
TCP 443 er det klåraste dømet. Det kan bera SSTP, ein OpenVPN TCP-tunnel, ein SoftEther SSL-VPN-økt eller vanleg webtrafikk, og portnummeret åleine kan ikkje skilja dei. Ein brannmurregel som tillèt 443 er derfor ikkje prov for kva klient som blir brukt. Eit opptak på det ytre grensesnittet avgjer det, og avgjer det på sekund.
Les profilformatet og motparten
Konfigurasjonsfila er eit sterkare spor enn adapteren. Ein OpenVPN-profil inneheld direktiv som remote, proto og ca; ein WireGuard-konfigurasjon inneheld ein [Interface]-del med ein privat nøkkel og [Peer]-delar med tillatne IP-ar; ei Windows-telefonbokoppføring lagrar tilkoplingstypen i sitt eige format. Kvar syntaks høyrer til éin implementasjon.
Sjå deretter på dokumentasjonen og loggane til motparten. Tenaren veit kva protokollhandsamar som godtok økta, og loggen nemner trinnet som vart fullført. Det provet slår kvar etikett på skrivebordet, fordi det blir registrert der pakkane faktisk vart tolka.
Vel rettleiinga etter protokoll, ikkje etter etikett
Eit OpenVPN-direktiv høyrer til OpenVPN, WireGuard-nøklar og tillatne IP-ar høyrer til WireGuard, og ein SSTP-profil er ingen av delane. Å lima alternativet til éin klient inn i ein annan fordi eit adapternamn høyrdest kompatibelt ut, er måten ein fungerande konfigurasjon blir øydelagd på.
Når protokollen er identifisert, vel den tilsvarande feilsøkingsvegen: loggen til klienten sjølv, den protokollspesifikke loggen til tenaren og eit opptak som viser den ytre utvekslinga. Derfrå har feilen eit namn i staden for ein etikett.