Sir-gelinta tunnelka WSS waxay joogsataa terminatorka TLS, ma aha appka

Tunnel lagu qaado WebSocket ammaan ah wuxuu leeyahay sir-gelin la mid ah inta macmiilku geliyay, wax ka badan ma leh. Nidaamka wss:// wuxuu leeyahay TLS waxay ilaalisaa hal xiriir hal bood. Waxba kama sheegto haddii bytes-ka ku jira fariimaha WebSocket si gaar ah loo ilaaliyo, iyo farqigaas ayaa go'aamiya cidda akhrin karta taraafikadaada marka wax dhexdhexaad ah dhammaysto TLS.

Labada lakab ee u eg mid

WebSocket ammaan ah waa TLS oo gacan-gelin WebSocket lagu sameeyo, sida RFC 6455 ku sharraxay qaybaha xiriirka iyo amniga. Lakabka TLS wuxuu xaqiijiyaa serverka oo sir-geliya qulqulka, ka dib lakabka WebSocket wuxuu qaabeeyaa waxa appku go'aansado inuu diro.

Kuwani waa laba go'aan oo madax-bannaan, sawirna hal quful ku sawira wadada oo dhan wuxuu qariyaa kan labaad. Weydii cidda dhammaysa xiriirka TLS. Kadib weydii waxa macmiilku gudaha geliyo farriin kasta. Wax kasta oo kale oo ku saabsan geynta waxay ka yimaadaan labada jawaab.

Naqshad A: gaadiidka ayaa ah sir-gelinta kaliya

Naqshadda fudud, macmiilku wuxuu qaataa xirmooyinka IP ceyriin oo ku duubaa fariimaha WebSocket. Gudaha waxba sir-gelin ma leh, sidaas darteed qaybta haysata fadhi TLS waxay akhridaa xamuul qoraal cad ah. Marka qaybtaas ay tahay serverka tunnelkaaga, kani waa barta ugu dambeysa ee loogu talagalay naqshadduna waa isku-dhac, maxaa yeelay serverku wuu arki lahaa taraafikada si kastaba.

Waxay noqotaa habayn kale marka proxy baaritaan uu fadhiisto wadada oo TLS ku dhammaysto shahaado uu macmiilku aaminsan yahay. Proxygaas hadda wuxuu hayaa isla qoraalka cad ee serverku hayn lahaa, waxna kama beddelo qaabaynta WebSocket ee kasta. Kaydka aaminaadda macmiilku wuxuu go'aansaday natiijadan muddo dheer ka hor furitaanka tunnelka, maxaa yeelay wuxuu doortay inuu aqbalaad shahaadadaas magacaas. Proxygu wuxuu kaloo arkaa martigeliyaha la codsaday iyo cabbirka farriin kasta, taas oo ku filan in lagu qaato faraha aqoonsiga hawlo badan iyada oo aan wax dheeraad ah la sir-dhicin.

Naqshad B: xamuulku wuxuu qaataa furayaashiisa

Naqshadda labaad, macmiilku wuxuu sir-geliyaa oo xaqiijiyaa xirmooyinkiisa borotokool VPN oo leh aqoonsi saaxiib iyo is-weydaarsi fure u gaar ah, ka dib wuxuu natiijada ku qaadaa fariimaha WebSocket. Dhammaynta TLS-ka dibadda halkan waxay muujinaysaa qoraal sir ah, ma aha taraafik. Proxygu wuxuu arki karaa cabbirrada iyo waqtiga fariimaha, waxna kale kuma jiro xamuulka. Tani waa soo-gaadhis aad u yar, walina waa xog-macluumaad lagu magacaabo dib-u-eegis halkii laga dhaqaaqi lahaa.

Barta ugu dambeysa ee borotokoolka gudaha weli waxay arkaan qoraal cad, taas oo ah ujeeddada habaynta iyo sidoo kale xadkeeda. Haddii qayb ku taal barta ugu dambeysa loo idmo inay akhrido xogta ka hor sir-gelinta ama ka dib sir-bixinta, lakabka dheeraadka ah ma xaddido. Furayaasha, iyo software-ka maamula, ayaa weli ah xadka muhiimka ah.

Calaamad VPN, summad macmiil oo caan ah ama bog suuqgeyn ma aha caddayn in naqshaddan jirto. Akhriska qaabka xamuulka ayaa caddayn ah.

Raadso halka qoraalka cad uu dhab ahaan ka muuqdo

Nidaamka URL wuxuu ku siinayaa hal xaqiiqo, marka inta kale ka hel is-dhexgalka. Socodsii baaritaannada hoose si taxane ah, maxaa yeelay mid kastaa wuxuu cidhiidhiyaa kan xiga:

ss -tnp | grep -E ':(443|8443)\b'
ip -br link show type tun
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
tcpdump -ni tun0 -c 5 -X

Ka bilow xiriirka dibadda. Hal fadhi TCP oo muddo dheer ah oo tagaya dekedda TLS ayaa ah muuqaalka qaadaha WebSocket, fadhina labaad oo tagaya martigeliyaha aan xiriirka lahayn wuxuu mudan yahay sharrax ka hor inta aadan si qoto dheer u eegin. Kadib hel is-dhexgalka tunnelka macmiilka, maxaa yeelay qalab tun ama tap ah wuxuu kuu sheegayaa in macmiilku maareynayo xirmooyinka IP halkii uu proxy ka dhigi lahaa hal qulqul app.

Qabashada is-dhexgalka tunnelka badanaa waxay xallinaysaa su'aasha xamuulka. Cinwaannada la akhriyi karo halkaas waxay ka dhigan yihiin in xirmooyinka gudaha aan marnaba si gaar ah loo sir-gelin, halka xamuulka entropy sare leh uu ka dhigan yahay in la sir-geliyay. Ku celi qabashada is-dhexgalka dibadda oo isbarbar dhig labada: haddii labaduba u muuqdaan kuwo aan kala sooc lahayn, lakabka gudaha wuxuu qabanayaa shaqo aan lakabka dibaddu beddeli karin.

Dib u eeg aaminaadda aad dhab ahaan bixisay

Shahaado xidid shirkadeed oo rakiban waa xaqiiqo ku saabsan kaydka aaminaadda macmiilka, ma aha bayaan ku saabsan waxa proxy kasta diiwaan geliyo ama baaro. Deji siyaasadda la hirgeliyay iyo wadada xiriirka dhabta ah halkii aad ka malayn lahayd dhaqanka jiritaanka CA.

Qalabka la maamulo, weydii maamulaha qaybta dhammaysa TLS, haddii macmiilku xaqiijiyo shahaado dhejisan ama mid dadweyne, iyo qaabka xamuulku waa maxay. Saddexda jawaab waxay soo saaraan natiijo aad difaaci karto mar dambe.

Natiijada u qor xad ahaan halkii ay ahaan lahayd xukun. "TLS waxay ku dhammaysataa proxyga baaritaanka, xamuulka gudahana si gaar ah ayaa loogu sir-geliyay furayaal ay leeyihiin oo kaliya barta ugu dambeysa" waa bayaan la hubin karo oo ka gudba beddelka iibiyaha. "WebSockets waa ammaan" ma gudbo.