Ku qëndron TLS brenda OpenVPN-së dhe çfarë ndryshon formën

OpenVPN me të vërtetë përdor TLS, dhe njerëzit e shtrijnë rutinë këtë në një pohim që ai nuk e mban: se një tunel pra duket si një shfletues që viziton një faqe. Pjesa e parë është e vërtetë. E dyta nuk është. TLS këtu i përket një kanali kontrolli që udhëton brenda enës së vetë OpenVPN-së, përbri një kanali ngarkese me kriptografi krejt të ndryshme, prandaj kush inspekton bajtët e para sheh OpenVPN.

Dy biseda në një zarf

Mendoni një sesion si dy biseda që ndajnë një zarf. Njëra vërteton certifikatat dhe nxjerr materialin e çelësit. Tjetra kripton atë që po dërgoni në të vërtetë, duke përdorur atë që prodhoi e para.

Zarfi është protokolli. Çdo paketë fillon me një kokë të vogël që emërton llojin e saj, dhe ajo kokë vjen para çdo gjëje tjetër.

Çfarë vjen vërtet e para

Për shkak të asaj renditjeje, gjëja e parë në tel nuk është një regjistrim TLS. Është koka e OpenVPN-së, e ndjekur nga përmbajtja e atij kanali që koka shpall. Një ClientHello ekziston aty, thjesht jo në bajtin zero. Nuk nevojitet asnjë dekriptim për të vënë re ndryshimin, sepse forma e vetme e zbulon atë.

Edhe vlerat e parazgjedhura kanë rëndësi këtu. Rrjedha është UDP drejt 1194 nëse profili nuk zgjedh TCP. Në të dyja rastet pamja e jashtme është një tunel dhe jo një kërkesë web.

Tri mënyra të ndershme për të ndryshuar formën

Një terminues TLS si stunnel pranon TLS në një port në çdo skaj dhe ia dorëzon rrjedhën e dekriptuar OpenVPN-së lokalisht, kështu që rrjeti sheh TLS drejt atij porti. Një protokoll që është TLS që nga bajti i parë sillet ndryshe: shkëmbimi i përputhshëm me AnyConnect që zbaton ocserv ngjan me aksesin në distancë korporativ që shumë rrjete tashmë e presin. SSTP, që vjen me Windows, ka të njëjtën veti në një produkt tjetër.

Në Linux, opsioni -w i SSH-së mbart një lidhje pikë-për-pikë brenda një sesioni SSH, gjë që është e dobishme kur SSH është protokolli i vetëm i lejuar. Është më i lirë nga katër nëse SSH funksionon tashmë nga ai rrjet, dhe më pak i dobishëm nëse nuk funksionon.

Çfarë nuk ndryshon asnjë prej tyre

Asnjë prej këtyre nuk ndryshon atë që tuneli mund të arrijë. Ato nuk e bëjnë të arritshme një adresë të bllokuar, nuk vërtetojnë askënd dhe nuk vendosin rrugë.

Një mbështjellës ju kushton gjithashtu një komponent. Dy dëgjues dhe dy skedarë konfigurimi nënkuptojnë dy vende dështimi, dhe të dy duken njësoj nga vendi i përdoruesit. Parashikojeni atë përpara se të miratoni një. Sesioni mbetet një rrjedhë e vetme e gjatë e kriptuar drejt një destinacioni, dhe vëllimi e kohëzgjatja e tij mbeten të dukshme.

Diagnostikoni së pari, pastaj zgjidhni

Prandaj diagnostikoni së pari. UDP-ja e hedhur përgjigjet me modalitetin TCP, dhe një nënshkrim i njohur përgjigjet me një protokoll tjetër ose një mbështjellës. Zgjedhja e një mjeti para se të njihni bllokimin është mënyra se si njerëzit përfundojnë duke mirëmbajtur tri shtresa që të gjitha dështojnë për të njëjtën arsye.

Një rrjet që lejon vetëm porte web e ngushton zgjedhjen në një protokoll të bazuar në TLS në 443. Zbatimi i të treve njëherësh jep një pirg që askush nuk mund ta korrigjojë, prandaj ndryshoni një gjë dhe riprovoni të njëjtën rrjedhë.

Nëse asnjëri nuk zbatohet, përgjigjja e saktë është se ky rrjet nuk do të mbartë një tunel për ju. Ky është një gjetje dhe jo një dështim i përpjekjes. Kalimi nëpër më shumë opsione nuk e kthen mbrapsht një vendim politik të marrë më lart.

Një kufi qëndron përpara gjithë kësaj. Leja për të ekzekutuar një tunel në rrjetin e dikujt tjetër është çështje politike, e vendosur veçmas nga fakti nëse mekanizmi funksionon. Këto fakte shpjegojnë çfarë sheh një vëzhgues, dhe ato nuk japin leje.