په یوازې وېب شبکه کې VPN بند دی؟ پر طبقو کار وکړئ

د کیمپس یا هوټل شبکه چې براوزر پکې کار کوي او هر تونل مري یوه ستونزه نه ده، څلور طبقې دي۔ لاره ممکن یوازې TCP 443 ته اجازه ورکړي، تصدیق شوی پروکسي وغواړي، لاس نیول وګوري، یا په تګلاره سره لرې لاسرسی په ساده ډول بند کړي۔ د دوی په ترتیب سره سمول تاسو له دې منع کوي چې د شبکې قاعده سمولو لپاره نوی کلینټ واخلئ۔ لاندې لارښود شاوخوا لس دقیقې وخت نیسي او دې لیکلي ځواب سره پای ته رسېږي چې کومه طبقه تاسو رد کړل۔

ثابته کړئ چې کومه طبقه اړیکه ردوي

د VPN کلینټ څخه مه پیل کوئ۔ هماغه هوسټ ته په ساده HTTPS غوښتنه پیل کړئ او د وخت پړاوونه ولولئ، ځکه چې ناکام پړاو درته وایي کوم وسیله مسؤله ده:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

هیڅ ځواب نه او connect وخت نه، معنی دا ده چې TCP هېڅکله بشپړ نه شو، نو اور وژونکی، د پروکسي غوښتنه یا غلط منزل په لوبه کې دی۔ connect وخت شته خو tls وخت نشته، معنی دا ده چې په منځ کې یو څه اړیکه ومنله او بیا یې لاس نیول ودروېدل، پلټونکی پروکسي د کلینټ له خوا همداسې ښکاري۔

اوس هغه سند وګورئ چې تاسو یې ریښتیا ترلاسه کوئ۔ دا ترټولو ګړندې لاره ده چې پوه شئ له سرور سره خبرې کوئ که د سیسشن بیا لاسلیک کوونکي منځني بکس سره:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

د صادروونکي کرښه ولولئ۔ ستاسو خپل CA معنی دا ده چې خدمت ته ورسېدئ؛ شرکتي یا د وسیلې صادروونکی معنی دا ده چې فلټر اړیکه پای ته ورسوله او اوس پرېکړه کوي چې بیا څه شي۔ دواړه پایلې د وخت نښې سره ثبت کړئ، ځکه چې یو ساعت وروسته په میلمه شبکه کې هماغه ازموینه بېل ځواب ورکولی شي۔

د پروکسي خبر کلینټ لومړی پاکټ بدلوي، نه تګلاره

که شبکه د تصدیق شوي پروکسي له لارې CONNECT غواړي، VPN کلینټ ته باید وویل شي، که نه هغه به هغه پتې ته سوکیټ پرانیزي چې نشي کولی یې لارښوونه وکړي۔ پروکسي له کلینټ جلا وآزمویئ، ترڅو ناکامي یوه تشریح ولري:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

لومړی حکم ثابتوي چې پروکسي منزل به وړي۔ دویم کلینټ ته وایي چې پر 443 TCP وکاروي، دا یوازینی ترانسپورت دی چې ډېری یوازې-وېب لارې یې هېڅکله مخته وړي۔ که لومړی بریالی او دویم لا هم ناکام وي، پروکسي خنډ نه دی۔

ځینې کلینټونه د اووررایډ پر ځای د عملیاتي سیسټم پروکسي لولي، ځینې دواړه نه لولي۔ د سیسټم په کچه تنظیم د تطبیق وړ دی د دې له منلو مخکې د اپلیکیشن خپل اسناد وګورئ۔ هغه کلینټ چې د هغه حل کوونکي له لارې پای ټکی حل کوي چې پروکسي یې خدمت نه کوي، هغه هم دلته ناکامېږي، او ځکه د DNS بدلون ممکن د حل په څېر ښکاره شي کله چې دا یوازې یوه پېچ لار ده۔

په سټیرنګ بڼه هم پام وکړئ۔ فلټر شوې شبکه کولی شي د یو پلورونکي د کشف هوسټ نوم ته په خپله یوه څیز ځواب ووايي، کوم چې بدلوي چې کلینټ کوم پروکسي پروفایل غوره کوي۔ د دې عجیبتیا شاوخوا پروسه مه جوړوئ۔ دا د سایټ له مخې توپیر لري، بې خبرې بدلېږي، او هغه څه نه دي چې تاسو یې د بل چا لپاره ملاتړ وکولی شئ۔

پورټ 443 رسېدونکی دی، اجازه نه لري

پر 443 تونل په TLS کې تاوول رسېدنې وړتیا حل کوي او بل هېڅ نه۔ هغه فلټر چې پورټ ګوري به یې پرېږدي؛ هغه فلټر چې د لاس نیولو نښه اخلي نه پرېږدي، او کوډ شوی کلینټ سلام د سرور نوم یوازې هغه وخت پټوي چې دواړه خواوې یې ملاتړ وکړي۔ ازموینه وچلوئ او د امید پر ځای پوه شئ چې تاسو د کوم ډول فلټر شاته یاست۔

دا هم یو فعالیت لګښت دی چې خلک یې وروسته مومي۔ په باوري ترانسپورت کې باوري ترانسپورت زیان زیاتوي، ځکه چې داخلي سټک هغه برخې بیا لېږي چې بهرني سټک لا دمخه بیا لېږلې دي۔ په پاکه اړیکه کې هېڅوک نه پام کوي۔ په ګڼه کیمپس بې سیمه شبکه کې تونل په سمه توګه هغه وخت بې کاره کېږي چې تاسو ته اړتیا وي، او ګراف د پاکټ زیان په څېر ښکاري که څه هم په قصد سره هېڅ نه غورځول کېږي۔

UDP معمولاً لومړی قرباني دی، او دا د اټکل پر ځای د تایید وړ ده۔ که WireGuard یا اصلي OpenVPN هېڅکله لاس نیول بشپړ نه کړي، پداسې حال کې چې TCP 443 کار کوي، شبکه UDP غورځوي، او د کیلي بیا جوړول به یې بدل نه کړي:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

پرون کار کوونکي سیال ترڅنګ تش د لاس نیولو وخت نښه د UDP ځواب دی۔ دوه DNS پوښتنې بل پوښتنې ته ځواب وایي: که سیمه ییز حل کوونکی او یو عامه حل کوونکی د پای ټکي پتې په اړه سره نه جوړېږي، تاسو سټیر کېږئ او د ترانسپورت دلیل غلط دی۔

تایید کړئ چې له ماشین څخه ریښتیا څه ووتل

کلینټ لاګونه بیانوي چې کلینټ څه باور لري۔ نیول بیانوي چې شبکې څه ولیدل، او د دغو دواړو توپیر هغه ځای دی چې ډېری دا قضیې هلته حل کېږي:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

که SYN پاکټونه ووینئ او SYN-ACK نه، بندول پورته خوا ته دي او کلینټ بې ګناه دی۔ که د سرور نه وي پتې ته بشپړ شوی لاس نیول ووینئ، تاسو له پروکسي یا نیوونکي سره خبرې کوئ۔ که هېڅ ونه وینئ، د هرې پایلې مخکې وګورئ چې په سمه انټرفیس کې مو نیولی۔

د سوکیټونو لیست یوه نریزه قضیه نیسي: دویم تونل چې لا دمخه اصلي لار نیولې ده۔ د لارښوونې جدول لپاره جنګېدونکي دوه کلینټونه داسې وقفه یي ناکامۍ جوړوي چې بندې شوې شبکې ته ورته ښکاري، او نیول به هغه ترافیک وښیي چې د هغه انټرفیس څخه وځي چې تاسو یې تمه نه درلوده۔

بېرته راګرځول، او هغه یادښت چې د ساتلو وړ دی

بدلونونه په هغه برعکس ترتیب بېرته وګرځوئ چې کړي مو وو۔ پروکسي متغیرونه لرې کړئ، هغه کلینټ چې په لاس مو پیل کړی ودروئ، او هر هغه لار یا حل کوونکی اووررایډ لرې کړئ چې مو اضافه کړی:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

په لاس پیل شوی کلینټ چلېدونکی پرېښودل هغه لاره ده چې لپ ټاپ به په بل دفتر سفر کې ماتې شبکې سره پاتې شي۔ په شیل پروفایل کې پرېښودل شوي پروکسي متغیرونه اونۍ وروسته نااړوند وسایل ماتوي، او هغه څوک چې یې ډیبګ کوي دوه پېښې نه نښلوي۔

بیا څلور کرښې ولیکئ: شبکه، د وخت نښه، ناکام پړاو، او هغه صادروونکی چې ولیدل۔ هغه لاره چې په یوه کیمپس کې کار کوي او په بل کې ناکامېږي نورماله ده، او بل کس باید پوه شي چې توپیر پروکسي، حل کوونکی که فلټر و۔ که ځواب دا وي چې شبکه لرې لاسرسی بندوي, هلته ودروئ او له مدیر څخه ملاتړ شوې لاره وغواړئ، نه لوستل شوې تګلارې ته پېچ لار وړئ۔