Где TLS седи унутар OpenVPN-а и шта мења облик

OpenVPN заиста користи TLS, а људи то рутински шире на тврдњу коју не може да носи: да тунел због тога изгледа као прегледач који посећује страницу. Први део је тачан. Други није. TLS овде припада контролном каналу који путује унутар OpenVPN-овог сопственог контејнера, уз канал корисног терета са сасвим другачијом криптографијом, па ко прегледа почетне бајтове види OpenVPN.

Две конверзације у једном коверту

Замислите сесију као две конверзације које деле један коверат. Једна проверава сертификате и изводи кључни материјал. Друга шифрује оно што заиста шаљете, користећи оно што је прва произвела.

Коверат је протокол. Сваки пакет почиње малим заглављем које именује његов тип, а то заглавље долази пре свега осталог.

Шта заправо долази прво

Због тог редоследа прва ствар на жици није TLS запис. То је OpenVPN-ово заглавље, а затим садржај оног канала који заглавље најави. ClientHello постоји унутра, само не на нултом бајту. За примећивање разлике није потребно дешифровање, јер сам облик то одаје.

Задате вредности су и овде важне. Ток је UDP на 1194 осим ако профил одабере TCP. У оба случаја спољни изглед је тунел, а не веб захтев.

Три поштена начина да промените облик

TLS терминатор као stunnel прихвата TLS на порту на сваком крају и предаје дешифровани ток OpenVPN-у локално, па мрежа види TLS према том порту. Протокол који је TLS од првог бајта понаша се другачије: размена компатибилна са AnyConnect, коју ocserv имплементира, личи на корпоративни удаљени приступ који многе мреже већ очекују. SSTP, који долази са Windowsом, има исту особину у другом производу.

На Linux-у SSH-ова опција -w носи везу тачка-на-тачку унутар SSH сесије, што је корисно кад је SSH једини дозвољени протокол. Најјефтинија је од четири ако SSH већ ради са те мреже, а најмање корисна ако не ради.

Шта ниједна од њих не мења

Ниједна од ових не мења до чега тунел може доћи. Оне не чине блокирану адресу доступном, не аутентификују никога и не одлучују о рутама.

Омотач вас такође кошта једну компоненту. Два слушаоца и две конфигурационе датотеке значе два места за квар, а оба изгледају идентично са корисничке стране. Предвидите то пре него што га усвојите. Сесија остаје један дуготрајан шифровани ток према једном одредишту, а њен обим и време остају видљиви.

Прво дијагностика, затим избор

Зато прво дијагностикујте. Одбијени UDP решава TCP режим, а препознати потпис други протокол или омотач. Избор алата пре него што знате блокаду је начин на који људи заврше одржавајући три слоја који сви падају из истог разлога.

Мрежа која дозвољава само веб портове сужава избор на протокол заснован на TLS-у на 443. Примена сва три одједном даје стек који нико не може отклонити, па промените једну ствар и поново тестирајте исти ток.

Ако ниједна не важи, тачан одговор је да та мрежа неће носити тунел за вас. То је налаз, а не неуспех труда. Вртња кроз више опција не поништава политичку одлуку донету изнад.

Једна граница стоји пред свим тим. Дозвола за покретање тунела на туђој мрежи политичко је питање, одлучено одвојено од тога да ли механизам функционише. Ове чињенице објашњавају шта посматрач види и не дају дозволу.