Porque é que uma linha scramble num perfil .ovpn exige um cliente com patch

Um perfil com uma linha scramble é importado para o cliente oficial e depois falha no aperto de mão, ou é importado com a linha descartada em silêncio e liga-se a nada. A diretiva pertence a uma compilação com patch do OpenVPN em vez do conjunto de funcionalidades original, por isso um cliente que não traga esse patch não consegue falar o protocolo resultante. Acrescentar a linha a um perfil normal não acrescenta a implementação. A compatibilidade tem de existir nas duas pontas antes de o ficheiro significar alguma coisa.

Trate isto primeiro como uma questão de protocolo e depois como uma questão de loja de aplicações.

A opção é um formato de fio, não uma preferência

O patch scramble altera o aspeto dos pacotes do túnel no fio, normalmente aplicando XOR à carga útil com um valor partilhado. Isso muda os bytes que ambos os pares têm de produzir e aceitar, o que o torna um acordo de formato e não uma definição local. Se um lado aplicar a transformação e o outro não, obtém-se uma sessão que se autentica e depois não transporta nada de utilizável. A definição só faz sentido quando as duas pontas executam o mesmo comportamento com patch.

Dois produtos podem ambos anunciar ofuscação e ainda assim implementar transformações incompatíveis. O nome num menu não é uma especificação; a compilação real do operador é.

Importar o ficheiro não é compatibilidade

Os clientes diferem no que fazem com uma diretiva desconhecida. Alguns recusam o perfil de imediato, alguns avisam e continuam, e alguns descartam a linha e ligam-se com um aperto de mão simples. O último caso é o perigoso, porque o túnel pode estabelecer-se contra um servidor que aceita ambos e depois falhar apenas no tráfego. Uma importação bem-sucedida prova, portanto, que o analisador tolerou a linha, não que a ligação vai funcionar.

Teste com o cliente e a compilação de que a implementação realmente precisa, contra o servidor que o operador realmente executa.

O APK é uma decisão de cadeia de abastecimento

Uma compilação Android com patch existe porque alguém a compilou, e a sua existência não diz nada sobre quem a mantém agora. Antes de aprovar uma, o responsável pela implementação deve rever a revisão de origem de onde veio, como o patch foi aplicado, a identidade de assinatura e o caminho de atualização. Uma aplicação VPN trata credenciais e todo o tráfego coberto, por isso uma página de descarregamento não relacionada não é uma autoridade de distribuição aceitável.

Peça ao operador do serviço a combinação de cliente suportada e o seu canal de instalação atual. Se esse canal já não existir, a implementação tem um problema de manutenção que um binário antigo não resolve.

A ofuscação não é encriptação nem sigilo

Alterar o formato visível dos pacotes não substitui a encriptação e não garante que uma rede não consiga classificar a ligação. O tempo, a reputação do ponto final e o tráfego em redor ainda transportam informação. Mantenha as verificações de identidade do servidor em que o perfil se baseia, como a verificação do certificado contra o nome esperado, mesmo quando o objetivo da camada extra é mudar a aparência.

Não substitua tls-crypt nem uma definição de proxy pelo patch e chame-lhe equivalente. Cada um altera uma parte diferente da ligação.

Peça um par mantido

O resultado que vale a pena são duas pontas mantidas e explicitamente compatíveis, com um caminho de atualização documentado em cada lado. Se esse par não existir, avalie um transporte de servidor suportado ou um desenho de acesso diferente em vez de manter viva uma aplicação antiga privilegiada. Essa decisão pertence ao proprietário do serviço, não a quem encontrou o APK.

Uma caixa scramble funcional no cliente é uma observação local de capacidade. Não diz nada sobre o servidor até uma sessão real transportar tráfego.