Gdje TLS sjedi unutar OpenVPN-a i što mijenja oblik

OpenVPN zaista koristi TLS, a ljudi to rutinski šire na tvrdnju koju ne može nositi: da tunel zato izgleda kao pregledač koji posećuje stranicu. Prvi deo je tačan. Drugi nije. TLS ovde pripada kontrolnom kanalu koji putuje unutar OpenVPN-ovog sopstvenog kontejnera, uz kanal korisnog tereta sa sasvim drugačijom kriptografijom, pa ko pregleda početne bajtove vidi OpenVPN.

Dve konverzacije u jednoj koverti

Zamislite sesiju kao dve konverzacije koje dele jednu kovertu. Jedna proverava sertifikate i izvodi ključni materijal. Druga šifruje ono što zapravo šaljete, koristeći ono što je prva proizvela.

Koverta je protokol. Svaki paket počinje malim zaglavljem koje imenuje njegov tip, a to zaglavlje dolazi pre svega ostalog.

Šta zapravo dolazi prvo

Zbog tog redosleda prva stvar na žici nije TLS zapis. To je OpenVPN-ovo zaglavlje, a zatim sadržaj onog kanala koji zaglavlje najavi. ClientHello postoji unutra, samo ne na nultom bajtu. Za primećivanje razlike nije potrebno dešifrovanje, jer sam oblik to odaje.

Zadate vrednosti su i ovde važne. Tok je UDP na 1194 osim ako profil odabere TCP. U oba slučaja spoljni izgled je tunel, a ne web zahtev.

Tri poštena načina da promenite oblik

TLS terminator kao stunnel prihvata TLS na portu na svakom kraju i predaje dešifrovani tok OpenVPN-u lokalno, pa mreža vidi TLS prema tom portu. Protokol koji je TLS od prvog bajta ponaša se drugačije: razmena kompatibilna sa AnyConnect, koju ocserv implementira, liči na korporativni udaljeni pristup koji mnoge mreže već očekuju. SSTP, koji dolazi sa Windowsom, ima istu osobinu u drugom proizvodu.

Na Linuxu SSH-ova opcija -w nosi vezu tačka-na-tačku unutar SSH sesije, što je korisno kad je SSH jedini dozvoljeni protokol. Najjeftinija je od četiri ako SSH već radi sa te mreže, a najmanje korisna ako ne radi.

Šta nijedna od njih ne menja

Nijedna od ovih ne menja do čega tunel može doći. One ne čine blokiranu adresu dostupnom, ne autentifikuju nikoga i ne odlučuju o rutama.

Omotač vas takođe košta jednu komponentu. Dva slušaoca i dve konfiguracione datoteke znače dva mesta za kvar, a oba izgledaju identično s korisničke strane. Predvidite to pre nego što ga usvojite. Sesija ostaje jedan dugotrajan šifrovani tok prema jednom odredištu, a njen obim i vreme ostaju vidljivi.

Prvo dijagnostikujte, zatim birajte

Zato prvo dijagnostikujte. Odbijeni UDP rešava TCP režim, a prepoznati potpis drugi protokol ili omotač. Biranje alata pre nego što znate blokadu je način na koji ljudi završe održavajući tri sloja koji svi padaju iz istog razloga.

Mreža koja dozvoljava samo web portove sužava izbor na protokol zasnovan na TLS-u na 443. Primena sva tri odjednom daje stog koji niko ne može otkloniti, pa promenite jednu stvar i ponovo testirajte isti tok.

Ako nijedna ne važi, tačan odgovor je da ta mreža neće nositi tunel za vas. To je nalaz, a ne neuspeh truda. Vrtnja kroz više opcija ne poništava političku odluku donetu iznad.

Jedna granica stoji pred svim tim. Dozvola za pokretanje tunela na tuđoj mreži političko je pitanje, odlučeno odvojeno od toga da li mehanizam funkcioniše. Ove činjenice objašnjavaju šta posmatrač vidi i ne daju dozvolu.