mitmproxy, DevTools, Gradle: tabaka tatu nyuma ya VPN

VPN inaunganisha, na zana tatu zisizohusiana zinashindwa kwa njia tatu tofauti alasiri hiyo hiyo. mitmproxy inaacha kuona maombi, Chrome inakataa kidadisi, na Gradle inatupa BindException wakati inafunga soketi ya ndani. Shaka ya pamoja ni kwamba handaki inazuia localhost. Haiwezi: 127.0.0.1 hushughulikiwa ndani ya kernel na haifikii kamwe adapta, achilia mbali lango.

Tabaka tatu, hitilafu tatu tofauti

Kilichobadilika na mteja si njia ya kuelekea loopback. Ni proksi ya ndani, hifadhi ya uaminifu ya mashine na kichujio cha pakiti, na kila kimoja huvunja sehemu tofauti ya mtiririko wa kazi wa msanidi. Kuweka dalili kwenye safu sahihi ndio sehemu kubwa ya uchunguzi:

Karibu kila ripoti ya aina hii huanza kwenye safu ya mwisho na kwenda juu, jambo ambalo ni kinyume. Handaki ndilo tabaka pekee ambalo kwa uthibitisho haliwezi kuona trafiki ya loopback, kwa hiyo linastahili shaka ndogo zaidi. Anza na kile mchakato ulichofunga, kisha uliza ni vyeti vipi inaviamini, na baada ya hapo tu angalia sera kwenye mashine.

Anza na msikilizaji, si handaki

Wakati proksi kwenye 127.0.0.1:8080 inaacha kupokea trafiki, moja ya mambo matatu yametokea: haikuanza kamwe, ilifunga bandari nyingine, au kichujio kilidondosha muunganisho wa loopback. Kuorodhesha soketi zinazosikiliza hujibu hilo kwa amri moja, na pia huonyesha ni mchakato upi unamiliki bandari wakati zana mbili hazikubaliani nani alikuwa wa kwanza.

Anwani ya ndani katika utafutaji wa njia inathibitisha jambo hilo hilo kutoka upande mwingine. ip route get kuelekea lengwa la loopback huripoti kifaa cha loopback, kamwe si handaki, ambayo ni sentensi muhimu kuwa tayari nayo wakati mtu anapendekeza mabadiliko ya uelekezaji kama suluhisho.

Tabaka la proksi: mazingira si usanidi

Wateja wengi wa shirika huendesha proksi ya HTTP na wanatarajia programu zaitumie. Kuweka HTTPS_PROXY kwenye shell hurekebisha zana za mstari wa amri zinazoheshimu, na haifanyi chochote kwa zana inayosoma faili yake ya mipangilio. Gradle, Selenium na gRPC kila kimoja hushauriana na usanidi wake, na proksi iliyosafirishwa kwenye terminal moja haionekani kwa daemon iliyoanzishwa na IDE.

Zana za kontena ndio mahali pa kawaida ambapo hii inaonekana. Loopback ya kontena ni yake yenyewe, kwa hiyo 127.0.0.1 ndani ya kontena haimaanishi kamwe proksi ya mwenyeji; anwani ya mwenyeji au mpangilio wa mtandao wa mwenyeji unahitajika. Marekebisho yanayofanya kazi kwenye shell na kushindwa kwenye build kwa kawaida ni safu hii, si handaki.

Tabaka la uaminifu: zana inasoma hifadhi nyingine

Ukatizaji ni mabadiliko ya pili, na huzalisha makosa yanayopotosha zaidi. Mteja huwasilisha cheti chake mwenyewe kwa miunganisho inayokaguliwa, kwa hiyo kivinjari kinachoamini mzizi wa shirika hufaulu wakati zana iliyo na hifadhi ya CA iliyojumuishwa inashindwa. requests za Python kupitia certifi ni kisa cha kawaida: hifadhi ya mfumo wa uendeshaji inaweza kuwa sahihi na ombi bado linashindwa, kwa sababu mazingira hayo ya utekelezaji hayaisomi kamwe. Maandishi ya kosa mara chache hutaja ukatizaji, ndiyo sababu safu hii hutambuliwa vibaya kama kituo cha mwisho kilichovunjika.

Linganisha kile kituo cha mwisho kinawasilisha kweli na kile zana ilithibitisha. openssl s_client huonyesha mnyororo uliotumwa na seva; matokeo ya uthibitishaji ya zana yenyewe huonyesha ilichoamua. Zinapokosa kuafikiana, REQUESTS_CA_BUNDLE au SSL_CERT_FILE ndio kianzio cha mazingira hayo ya utekelezaji, na mzizi wa shirika unapaswa kuwa kwenye hifadhi inayosomwa na mazingira hayo, si mahali pa kimataifa panapozingatiwa na zana chache tu.

Mabadiliko ya toleo yanayorekebisha kosa la SSL ni ushahidi kuhusu sera ya uaminifu na usimbaji fiche, si kuhusu VPN. Kushusha toleo la Python kulikofanya mteja wa SOAP kufanya kazi kulibadilisha hifadhi ya CA iliyojumuishwa na mipangilio chaguo-msingi ya TLS; njia ya mtandao haikusogea.

Tabaka la kichujio: linaweza pia kudondosha loopback

Mabadiliko ya tatu ni kichujio cha pakiti, na baadhi ya bidhaa husakinisha sheria zinazodondosha trafiki isiyoingia kwenye handaki. Wasikilizaji wa ndani wanaweza kujumuishwa. Hilo hubadilisha soketi inayofanya kazi kuwa muunganisho uliokataliwa au ulioisha muda, na kosa linalotokea linaonekana kama hitilafu katika programu badala ya sera kwenye mashine.

Umiliki wa bandari ni nusu nyingine ya tabaka hili. BindException inamaanisha soketi haikuweza kufunguliwa, ambayo ni kushindwa tofauti na muunganisho uliokataliwa. Angalia kama mchakato mwingine tayari unashikilia bandari kabla ya kulaumu kichujio, kisha tafuta sheria inayodondosha trafiki ya ndani na uongeze ruhusa nyembamba zaidi ambayo bidhaa inaunga mkono. Zana mbili zinazoshindania bandari hiyo hiyo ya utatuzi hutoa ujumbe sawa kabisa na kuzuia kwa sera, na ni moja tu kati yao inayorekebishwa na mabadiliko ya firewall.

Bandari ya utatuzi ya Chrome inashindwa katika familia hiyo hiyo. Kivinjari huanza, dereva hawezi kufikia kituo cha mwisho cha DevTools, na ujumbe hutaja DevTools badala ya mtandao. Bendera za ziada za uzinduzi na meneja wa dereva asiyehitajika hubadilisha ni mchakato upi unamiliki bandari, ndiyo sababu kuwaondoa wakati mwingine kunaonekana kurekebisha VPN.

Rekebisha tabaka lililoshindwa

Rekebisha tabaka lililoshindwa, si handaki. Msikilizaji wa loopback asiyefikiwa anahitaji msikilizaji wake au bandari yake kurekebishwa. Cheti kisichoaminika kinahitaji mzizi wa shirika uliosakinishwa mahali mazingira hayo maalum yanatazama, huku ubaguzi ukibaki mwembamba. Kichujio kinachodondosha trafiki ya ndani kinahitaji sheria maalum ya ruhusa badala ya kichujio kilichozimwa, kwa sababu kuzima hufungua tena kila kitu kingine kilichokuwa kikilinda.

Kuunganisha tena VPN hakupimi hata moja ya tabaka hizi. Kinaendesha tena mabadiliko yaliyozivunja, ndiyo sababu kushindwa huko tatu kunarudi baada ya kila muunganisho mpya na kutoweka baada ya kila kuwasha upya kunakoacha mteja bila shughuli.