Hal dhibic VPN oo ku socota Squid: ka-reeb CONNECT cidhiidhi ah

Squid waxa uu ka jawaabaa codsiga CONNECT xariiqda http_access ee ugu horreysa ee u qabo, xariiqdaasna waxay noqon kartaa diidmo. Xaqiiqadan kaliya ayaa sharraxaysa sababta ka-reebka dhibicda VPN uu inta badan ku guuldareysto isku dayga koowaad, sababtoo ah codsiga weligiis ma gaaro fasaxa uu qof ku daray xagga hoose. Sixid cidhiidhi ah ayaa haysta ilaalada dekedaha ee jira oo waxay bartaa hal isha, meel iyo deked la dib u eegay. Wax kasta oo kale ee proxy-ga waxay u dhaqmaan si la mid ah sidii hore.

Sida Squid u go'aamiyo codsiga CONNECT

Codsiga CONNECT waxa uu magacaabaa martigeliyaha iyo dekedda, Squid-na waxa uu maraa xariiqyada http_access si isku xigta ilaa mid ka mid ah u qabto. Diidmo u qabta ayaa isla markiiba joojisa qiimeynta, macmiilkuna waxa uu ka helaa proxy-ga 403. Taasi waa sababta booska qaanuunka uu ka muhiimsan yahay qoraalkiisa. In isla xariiqda hal tallaabo kor loo qaado waxay natiijada gebi ahaan u beddeli kartaa.

Ilaalada caadiga ah waxay diidaan wax kasta oo ka baxsan Safe_ports waxayna diidaan CONNECT ka baxsan SSL_ports. Magacyadaas waa ACL lagu qeexay dejintaada, sidaas darteed waxa ku jira adigaa leh ee ma aha borotokoolka. Qaybin ayaa laga yaabaa in ay u oggolaato baaxad ballaaran oo dekedo ah sida Safe_ports iyada oo si gooni ah u xaddidaysa CONNECT. Akhri qiyamka nool ka hor intaadan u malayn in dekedda loo xidhay naqshad ahaan.

Xaqiiji in proxy-gu yahay qaybta diidaysa codsiga. 403 uu Squid soo saaro ayaa gebi ahaanba u egmaan digniinta TLS ee ka timaadda server-ka VPN, labadana hal dhibaato lagu daro waxay qaadataa saacadda koowaad. Hubi xariiqda diiwaanka gelitaanka ee codsiga, sababtoo ah waxay diiwaangelisaa ficilka iyo qaanuunka soo saaray labadaba.

Dhis hal iswaafajin isku dhafan halkii aad ka dhisan lahayd saddex ACL oo kala duwan

Ka-reebka ka dhis saddex xaqiiqo: baaxad isha la ansixiyay, hal cinwaan meel la ansixiyay iyo dekedda kaliya ee dhibicda ay dhageysato. Laba ACL oo kala duwan iyo hal iswaafajin isku dhafan waxay soo saaraan siyaasad aad u kala duwan, sababtoo ah waxa la qiimeeyo waa isku-dhafka. U magacow ACL isku dhafan waxa ay oggolaato, ee ma aha habka ay qaaddo.

Qaabka hoose waxa uu isticmaalaa baaxadaha dukumeentiga oo ay tahay in lagu beddelo qiyam la dib u eegay. Squid ma kaydiyo mid ka mid ah magacyadan, sidaas darteed adigaa dooranaya oo adigaa si joogto ah u haynaya. Cuntadan waxay ku eg tahay Squid 6 iyo 7, oo dejintooda dukumeentiga ah ay taageerto kooxda all-of. Tixraaca hadda jira waxa uu calaamadeeyaa tilmaamahaas in aanay laga heli karin Squid 8, sidaas darteed u qaado tan cunto nooc-ku-xiran ah oo ma aha waddo guuris, oo hubi tilmaanta tixraaca noocaaga ka hor intaadan codsan.

acl pvpn_src src 192.0.2.128/25
acl pvpn_dst dst 198.51.100.77/32
acl pvpn_port port 1194
acl pvpn_ok all-of CONNECT pvpn_port pvpn_dst pvpn_src

Kooxda all-of waxay iswaafajisaa kaliya marka xubin kastaa iswaafajiso, taas oo macneheedu yahay isha, meesha iyo dekedda waxa lagu hubiyaa hal xariiq. Kooxda lafteedu waxba ma bixiso, codsiga ku waafajinaya laba ka mid ah saddexda xaqiiqo ma buuxin karo. Sifadaas ayaa ka-reebka cidhiidhi ku haysa marka qof mar dambe ku daro irrid labaad. Ama meesha cusub si ula kac ah ayaa lagu daraa, ama codsiga waxa uu ku noqdaa ilaaladii asalka ahayd.

Qallooci ilaalada dekedaha adigoon ka saarin

Booskooda hadda jira, labada xariiqood ee ilaalada caadiga ah waxay u eg yihiin sidan. Caadi ahaan waxay ku yaallaan aqoonsiga ka dib iyo xariiqyada siyaasadda ee wax walba oggolaada ka hor.

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

Ku dar iswaafajinta isku dhafan ee la diiday mid kasta, si ka-reeb la iswaafajiyay uu ka badbaado ilaaliye haddii kale diidi lahaa. Kaliya xariiqyada ilaalada ayaa beddela, mid kastaana hal shuruud oo dheeraad ah.

http_access deny CONNECT !SSL_ports !pvpn_ok
http_access deny !Safe_ports !pvpn_ok

Shuruudaha hal xariiq oo gelitaan waa la isku daraa, sidaas darteed xariiqda hadda waxay diiddaa kaliya codsiyada ku guuldareysta hubinta asalka ah iyo ka-reebka labadaba. Codsiga dhibicda la ansixiyay wuu gudbaa, codsi kasta oo kale waxa uu hayaa dhaqanka hore ee dekedda. Tan waa ka cidhiidhi badan tahay in dekedda lagu daro liiska guud ee SSL_ports, taas oo dekeddaas u oggolaan lahayd meel kasta. Haddii dekeddu horey ugu jirto liiskaas, ACL tan waxba ma cidhiidhiso oo fasaxa hore ee ballaaran waxa uu weli khuseeyaa meelo kale, sidaas darteed akhri liiska nool ka hor intaadan sheegan in ka-reebku furay dekedda. Sidoo kale waa la beddeli karaa, sababtoo ah laba xariiq ayaa ku noqda qaabkoodii hore. Tixraaca xakamaynta gelitaanka waxa uu dukumeentinayaa nidaamka iyo ilaalada caadiga ah ee isbeddelkan ku tiirsan yahay.

Halka aan ka-reebka la dhigi karin

Temptation-ku waa in fasax la dhigo ilaalada korkooda oo la dhammeeyo. Booskaas waxa uu sidoo kale dhaafi doonaa ilaalada aqoonsiga iyo meesha gudaha ee caadi ahaan ku yaal meel u dhow sare ee dejinta shaqaynaysa. Natiijadu ma aha ka-reeb cidhiidhi ah, waa dalool ay faallo ka sarreyso. Hayso fasax kasta oo cusub isla marxaladda la dib u eegay ee siyaasadda macmiilka intiisa kale.

Hubi waxa codsigu uu wali u baahan yahay ilaalada dekedaha ka dib. Koonto la aqoonsaday, cinwaan macmiil la oggolaaday iyo siyaasad meel ayaa dhammaantood wali khuseeya, ka-reebkaana midkoodna ma beddelo. Haddii proxy-gaagu horey u oggolaado koontada la ansixiyay in ay gaarto meelo aan la cayimin, ilaaliyaha dekeddu weligiis ma ahayn xakamaynta dhabta ah.

Ka fiirso haddii dhibicdu tahay TCP. Ka-reebka CONNECT waxa uu qaadaa qulqulka TCP, borofaylka OpenVPN ee isticmaala UDP lama gaari karo iyada. Beddel borofaylka TCP kaliya haddii server-ku sidaas u dhageysto oo hawlwadeenka uu aqbalo farqiga dhaqanka.

Hubi xadka parser-ka iyo codsi dhab ah

Falanqee dejinta ka hor dib u rarista, oo hayso kalfadhi labaad oo furan inta aad sidaas samaynaysid. Khalad naxwe ah oo ku yimaada dib u rarista waxa laga yaabaa in uu proxy-ga ku reebo dejinta hore ama uu gebi ahaan u diido tan cusub. Parser-ku waxa uu soo sheegaa xariiqda la diiday, taas oo ka badan waxa khaladka macmiilku kuu sheego.

Kadib dib u rari oo ka soo dir hal CONNECT dhab ah proxy-ga iyada oo laga imaanayo ilo la ansixiyay. Socodka parser-ka ayaa ugu horreeya, sababtoo ah dib u raris khalad teeb ah kuma barayo wax siyaasadda ku saabsan.

squid -k parse
squid -k reconfigure
curl -v -p -x http://proxy.lab.internal:3128 https://vpn.lab.internal:1194/ --max-time 5

Tijaabi saddex xaaladood: ilo iyo koonto la ansixiyay, ilo aan la ansixin, iyo meel kale oo isla dekedda ah. Xaaladda saddexaad ayaa caddaynaysa in ka-reebku cidhiidhi yahay, sababtoo ah waxay tijaabisaa dekedda iyada oo aan la iswaafajin meesha. Akhri diiwaanka gelitaanka saddexda oo dhan halkii aad ka aamini lahayd farriinta macmiilka. CONNECT guuleysta waxa uu dhistaa qulqul TCP oo wax kale ma aha, sidaas darteed gacan-qaadka VPN waxa uu ahaanayaa tijaabo gooni ah.