Kje v OpenVPN sedi TLS in kaj spreminja obliko

OpenVPN res uporablja TLS, in ljudje to rutinsko razširijo v trditev, ki je ne prenese: da je predor zato videti kot brskalnik, ki obiskuje spletno mesto. Prvi del drži. Drugi ne. TLS tukaj pripada krmilnemu kanalu, ki potuje znotraj lastnega vsebnika OpenVPN, ob kanalu koristnega tovora s povsem drugačno kriptografijo, zato kdor pregleda začetne bajte, vidi OpenVPN.

Dva pogovora v eni ovojnici

Predstavljajte si sejo kot dva pogovora, ki si delita eno ovojnico. Eden preverja potrdila in izpelje ključno gradivo. Drugi šifrira, kar v resnici pošiljate, z uporabo tega, kar je ustvaril prvi.

Ovojnica je protokol. Vsak paket se začne z majhno glavo, ki poimenuje njegov tip, in ta glava pride pred vsem drugim.

Kaj v resnici pride prvo

Zaradi tega vrstnega reda prva stvar na žici ni zapis TLS. To je glava OpenVPN, ki ji sledi vsebina tistega kanala, ki ga glava napove. ClientHello je tam, le ne na ničtem bajtu. Za opazovanje razlike ni potrebno nobeno dešifriranje, ker sama oblika to izda.

Tudi privzete vrednosti so tukaj pomembne. Tok gre po UDP na 1194, razen če profil izbere TCP. V obeh primerih je zunanji videz predor, ne spletna zahteva.

Tri poštene poti za spremembo oblike

Zaključevalnik TLS, kot je stunnel, sprejme TLS na vratih na obeh koncih in preda dešifriran tok OpenVPN lokalno, zato omrežje vidi TLS na ta vrata. Protokol, ki je TLS od prvega bajta, se obnaša drugače: izmenjava, združljiva z AnyConnect, ki jo izvaja ocserv, spominja na poslovni oddaljeni dostop, ki ga mnoga omrežja že pričakujejo. SSTP, ki pride z Windows, ima isto lastnost v drugem izdelku.

V Linuxu možnost -w v SSH prenaša povezavo od točke do točke znotraj seje SSH, kar je uporabno, ko je SSH edini dovoljeni protokol. Je najcenejša od štirih, če SSH s tega omrežja že deluje, in najmanj uporabna, če ne.

Česa nobena od njih ne spremeni

Nobena od teh ne spremeni, kam lahko predor doseže. Ne naredijo blokiranega naslova dosegljivega, nikogar ne overijo in ne odločajo o poteh.

Ovoj tudi vas stane eno komponento. Dva poslušalca in dve konfiguracijski datoteki pomenita dve mesti za okvaro, in obe sta z uporabnikovega sedeža videti enako. Predvidite to, preden eno sprejmete. Seja ostane en sam dolgotrajen šifriran tok do enega cilja, njen obseg in čas pa ostaneta vidna.

Najprej diagnostika, nato izbira

Zato najprej diagnosticirajte. Zavržen UDP se rešuje z načinom TCP, prepoznani podpis pa z drugim protokolom ali ovojem. Izbira orodja, preden poznate blokado, je pot, po kateri ljudje na koncu vzdržujejo tri plasti, ki vse odpovejo iz istega razloga.

Omrežje, ki dovoljuje le spletna vrata, zoži izbiro na protokol, ki temelji na TLS, na 443. Uporaba vseh treh hkrati da sklad, ki ga nihče ne more razhroščevati, zato spremenite eno stvar in znova preizkusite isti tok.

Če ne velja nobena, je natančen odgovor, da to omrežje ne bo preneslo predora za vas. To je ugotovitev in ne neuspeh truda. Preizkušanje več možnosti ne razveljavi politične odločitve, sprejete višje.

Pred vsem tem stoji ena meja. Dovoljenje za izvajanje predora v tujem omrežju je politično vprašanje, odločeno ločeno od tega, ali mehanizem deluje. Ta dejstva pojasnjujejo, kaj vidi opazovalec, in ne dajejo dovoljenja.