VPN lagu xannibay shabakad web kaliya? Ka shaqee lakabyada

Shabakad jaamacad ama hudheel oo browser-ku shaqeeyo oo tunnel kastaa dhinto ma aha hal dhibaato, waa afar lakab oo is dul saaran. Waddadu waxay oggolaan kartaa TCP 443 oo keliya, waxay dalban kartaa proxy la xaqiijiyay, waxay baari kartaa gacan-qaadka, ama waxay si fudud u mamnuuci kartaa gelitaanka fog iyada oo siyaasad ah. Iyaga oo si taxane ah loo shaqeeyo waxay kaa horjoogsataa inaad iibsato macmiil cusub si aad u hagaajiso qawaaniinta shabakadda. Hagaha hoose wuxuu qaataa qiyaastii toban daqiiqo wuxuuna ku dhammaanayaa jawaab qoraal ah oo ku saabsan lakabka ku diiday.

Caddee lakabka diida isku-xirka

Ha ka bilaabin macmiilka VPN. Ka bilow codsi HTTPS caadi ah oo u socda isla martigeliyaha oo akhri wejiyada waqtiga, sababtoo ah wejiga guuldarraysta wuxuu sheegaa qalabka mas'uulka ah:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Jawaab la'aan iyo connect waqti la'aan waxay ka dhigan tahay TCP waligiis ma dhammaanin, sidaas darteed dab-damis, shuruud proxy ama meel khaldan ayaa ciyaarta ku jirta. connect waqti leh tls waqti la'aan waxay ka dhigan tahay in wax dhexdhexaad ah ay aqbaleen isku-xirka kadibna joojiyeen gacan-qaadka, proxy baadhayaana sidaas ayuu uga muuqdaa dhinaca macmiilka.

Hadda baadh shahaadada aad runtii hesho. Tani waa habka ugu dhaqsaha badan ee lagu ogaado haddii aad la hadlayso server-ka ama sanduuq dhexdhexaad ah oo mar kale saxeexay fadhiga:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Akhri sadarka soo-saare. CA-gaaga u gaar ah waxay ka dhigan tahay inaad gaartay adeegga; soo-saare shirkadeed ama qalab waxay ka dhigan tahay in shaandhayn ay dhammeeyeen isku-xirka oo ay go'aaminayaan waxa xiga. Diiwaangeli labada natiijo oo leh shaabadda waqtiga, sababtoo ah isla imtixaanka saacad kadib shabakadda martida wuxuu bixin karaa jawaab kale.

Macmiilka proxy-ga yaqaan wuxuu beddelaa baakadda koowaad, ma beddelo siyaasadda

Haddii shabakaddu dalbato CONNECT iyada oo loo marayo proxy la xaqiijiyay, waa in macmiilka VPN la sheegaa, haddii kale wuxuu isku dayi doonaa inuu furo socket cinwaan uusan u jiheyn karin. Tijaabi proxy-ga si gooni ah macmiilka, si guuldarradu hal sharaxaad u yeesho:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Amarka koowaad wuxuu caddeeyaa in proxy-gu qaadi doono meesha. Kan labaad wuxuu macmiilka ka codsadaa inuu isticmaalo TCP 443, taas oo ah gaadiidka kaliya ee inta badan waddooyinka web-kaliya ay gudbiyaan. Haddii kan koowaad guuleysto oo kan labaad weli guuldarraysto, proxy-gu ma aha caqabad.

Macmiiliinta qaar waxay akhriyaan proxy-ga nidaamka hawlgalka halkii ay ka akhriyaan beddelaad, qaarna midna ma akhriyaan. Hubi dukumeentiga abka ka hor inta aanad u malayn in dejinta nidaamka oo dhan ay khusayso. Macmiilka xalliya barta ugu dambeysa iyada oo loo marayo xalliye aan proxy-gu u adeegin ayaa sidoo kale halkan ku guuldarraysta, taasina waa sababta isbeddelka DNS uu ugu ekaan karo hagaajin marka uu yahay uun meerays.

Ogaada sidoo kale qaabka hanuuninta inta aad ku hawlan tahay. Shabakad la shaandheeyay waxay ka jawaabi kartaa magaca martigeliyaha ogaanshaha iibiyaha wax u gaar ah, taas oo beddelayso profile proxy ah oo macmiilku doorto. Ha dhiseyn geedi socod ku wareegsan caynkaas qariibka ah. Wuxuu ku kala duwan yahay goobta, wuxuu isbeddelaa iyada oo aan ogeysiis la bixin, mana aha wax aad u taageeri karto qof kale.

Dekedda 443 waa la gaari karaa, lama oggola

Tunnel ku duubidda TLS 443 waxay xallinaysaa gaaritaanka oo keliya. Shaandhayn baarta dekedda ayaa dhaafi doonta; shaandhayn qaadata faraha gacan-qaadka ma dhaafi doonto, salaan macmiil oo sir ah waxay qarinaysaa magaca server-ka kaliya marka labada dhinac ay taageeraan. Socodsii imtixaanka oo ogaaw shaandhayn noocee ah ayaad ka dambeysaa halkii aad rajo qabi lahayd.

Waxaa jira sidoo kale kharash waxqabad oo dadku hadhow ogaadaan. Gaadiid lagu kalsoonaan karo oo ku dhex jira gaadiid lagu kalsoonaan karo wuxuu kordhiyaa luminta, sababtoo ah stack gudaha wuxuu dib u diraa qaybo uu stack dibadda hore ugu dib diray. Xiriir nadiif ah qofna ma ogaado. Shabakad wireless jaamacadeed oo ciriiri ah tunnel-ku wuxuu noqdaa mid aan la isticmaali karin isla marka aad u baahan tahay, garaafkuna wuxuu u eg yahay luminta baakadaha inkastoo aan wax si ula kac ah loo tuurin.

UDP badanaa waa ugaarsadaha koowaad, waana mudan in la xaqiijiyo halkii la qiyaasi lahaa. Haddii WireGuard ama OpenVPN caadiga ah waligood ma dhammeeyaan gacan-qaad inta TCP 443 shaqeynayo, shabakaddu waxay tuuraysaa UDP, mana jirto dib u soo saarid fure oo beddeli doonta:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Shaabadda waqtiga gacan-qaad oo madhan oo ku xigta jaarka shalay shaqeynayay waa jawaabta UDP. Labada su'aal ee DNS waxay ka jawaabaan su'aal kale: haddii xalliye maxalli ah iyo xalliye dadweyne aysan ku heshiin cinwaanka barta ugu dambeysa, waa la hanuuninayaa oo doodda gaadiidka waa khalad.

Xaqiiji waxa runtii ka baxay mishiinka

Diiwaannada macmiilka waxay qeexaan waxa macmiilku aaminsan yahay. Qabashadu waxay qeexdaa waxa shabakaddu aragtay, farqiga u dhexeeya labadana waa meesha inta badan kiisaskan lagu xalliyo:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

Haddii aad aragto baakado SYN oo aan SYN-ACK jirin, xannibaaddu waa kor, macmiilkuna waa aan waxba galabsan. Haddii aad aragto gacan-qaad dhammaaday oo u socda cinwaan aan ahayn kan server-ka, waxaad la hadlaysaa proxy ama qabte. Haddii aad waxba arkin, hubi inaad ku qabatay is-dhexgalka saxda ah ka hor inta aanad wax soo gabagabeeyin.

Liiska socket-yada wuxuu qabtaa kiis khiyaano yar: tunnel labaad oo hore u haysta wadada caadiga ah. Laba macmiil oo ku loolamaya shaxda jiheynta waxay dhaliyaan guuldarrooyin joogto ah oo u eg shabakad la xannibay, qabashaduna waxay tusi doontaa taraafik ka baxaya is-dhexgal aadan filayn.

Dib u noqod, iyo qoraalka mudan in la hayo

Ka noqo isbeddellada sidii ay u kala horreeyay oo ka duwan. Ka saar doorsoomayaasha proxy, jooji macmiilka aad gacanta ku bilowday, oo ka saar wadada ama xalliyaha beddelaad kasta oo aad ku dartay:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Ka tagista macmiil gacanta lagu bilaabay oo shaqaynaya waa sida laptop ugu dhammaado shabakad jaban booqashada xafiiska ee xigta. Doorsoomayaasha proxy ee lagu tago profile shell waxay jebiyaan qalab aan xiriir la lahayn toddobaadyo kadib, qofka debug-gaynayana ma isku xiri doono labada dhacdo.

Kadib qor afar sadar: shabakadda, shaabadda waqtiga, wejiga guuldarraystay, iyo soo-saaraha aad aragtay. Waddo ka shaqaysa hal jaamacad oo ku guuldarraysta tan xigta waa caadi, qofka xigana waa inuu ogaadaa haddii farqigu ahaa proxy, xalliye ama shaandhayn. Haddii jawaabtu tahay in shabakaddu mamnuucdo gelitaanka fog, halkaas joog oo maamulka weydii waddada la taageeray halkii aad meerays u qaadan lahayd siyaasad aadan akhrin.