OpenVPN kwenye 443 bado imezuiwa? Angalia mtandao unachunguza nini

Handaki huunganisha kutoka mstari wa nyumbani na kukwama kwenye mtandao wa hoteli au ofisi, na kuhamisha seva kwenye bandari 443 hakukubadilisha chochote. Matokeo hayo ni ya kawaida kiasi cha kuwa na umbo: bandari ilikuwa sehemu rahisi, na uamuzi uliobaki ni wa kila kitu kilichokaa kati ya mteja na seva. Maswali mawili hutatua visa vingi, na hakuna moja kati yao kuhusu siri. Je, mtandao unakubali salamu ya TLS kwenye anwani hiyo, na mteja anahifadhi njia kuelekea kifungashio chake wakati handaki iko juu?

Salamu inafichua zaidi ya namba

Msikilizaji asilia wa VPN kwenye TCP 443 huzungumza itifaki yake tangu pakiti ya kwanza. ClientHello ina sehemu ya toleo, thamani ya nasibu na orodha ya vipanuzi, na kifaa kinachosoma mamia kadhaa ya baiti kinaweza kuona tofauti bila kusimbua chochote. Namba za bandari ni rahisi kuridhika, na umbo la itifaki ndilo ambalo kichujio hukagua kwa kweli. Kanuni huandikwa pia kwa kila itifaki, kwa hiyo sera inayochunguza TLS haisemi chochote kuhusu UDP.

Wakala wazi anayehitaji kipindi halali cha TLS huacha muunganisho wakati wa usanidi, mara nyingi baada ya salamu ya TCP kukamilika. Undani huo ni muhimu baadaye, kwa sababu unamaanisha kumbukumbu ya mteja huacha baada ya soketi kuanzishwa.

Kufunga mkondo kwa kifungashio huzaa sehemu mbili za kushindwa

Kifungashio cha TLS kama stunnel hurejesha umbo linalotarajiwa: mteja huunganisha na msikilizaji wa ndani, kifungashio hufungua kipindi halisi cha TLS kuelekea seva kwenye 443, na kifungashio cha pili kwenye seva hupeleka baiti zilizosimbuliwa kwa daemon ya VPN. Kipindi cha nje sasa kinaonekana kama muunganisho mwingine wowote wa HTTPS. Daemon ya VPN kwenye seva inapaswa kusikiliza kwenye loopback pekee, kwa sababu hakuna kitu nje ya kifungashio kinachohitaji kuifikia.

Mambo matatu tofauti lazima yapatane kwa muundo huo. Profaili ya mteja inaelekeza kwa msikilizaji wa ndani, cheti cha seva kinalingana na jina ambalo mteja huthibitisha, na upelekaji upande wa seva unalenga bandari ambayo daemon hutumia kwa kweli. Ukikosea moja wapo, muunganisho hufa kabla ya kufikia tabaka la VPN. Hapo kutokulingana kwa cheti huonekana kama hitilafu ya kifungashio na si hitilafu ya VPN, na ndiyo sababu kumbukumbu zote mbili zinafaa kusomwa pamoja.

Njia ya kuelekea kifungashio ni mtego

Mara handaki inapoinuka, njia ya chaguo-msingi inaelekeza ndani yake, na kipindi cha nje cha TLS kinahitaji njia isiyoingia kwenye handaki inayobeba. Mteja wa kawaida wa VPN hulinda anwani anayopiga; mteja aliyefungashwa hupiga loopback yake mwenyewe, kwa hiyo anwani ya mwisho ya kifungashio haionekani kwa ulinzi huo.

sudo ip route add 198.51.100.20 via 192.168.0.1
sudo openvpn --config client.ovpn
sudo ip route del 198.51.100.20

Anwani kamili unazijaza mwenyewe, na njia lazima iwepo katika maisha yote ya muunganisho, si mwanzoni tu. Skripti ndogo ya kifungashio inayoongeza njia kabla ya mteja na kuiondoa baadaye ni ya kuaminika zaidi kuliko amri inayokumbukwa.

Kwenye Android, kilinganishi cha msamaha huo ni mpangilio kwa kila programu: ondolea programu ya kifungashio handaki ili trafiki yake mwenyewe itoke kwa muunganisho wa simu. Bila kuondolewa, kifungashio huelekezwa ndani ya handaki inayojaribu kujenga, na mzunguko wa kuunganisha tena unaonekana kama tatizo la seva.

Soma muda kabla ya kubadilisha chochote

Kipindi kinachokufa baada ya muda sawa kila mara ni sahihi ya sera na si kushindwa kwa usimbaji fiche, na mipaka ya mtiririko ya muda mrefu hutoa muundo huo hasa. Muunganisho unaowekwa upya mara moja baada ya salamu unaonyesha wakala ambao hakupenda mnyororo wa vyeti.

Linganisha mtoaji wa cheti wa tovuti ya kawaida ya HTTPS kutoka mitandao yote mawili. Ikiwa mtoaji ni tofauti kwenye mtandao uliozuiwa, kuna kitu kinamaliza TLS katikati, na hakuna kifungashio kitakachonusurika kuingiliwa huko bila mabadiliko. Ulinganisho huo huo unakuambia kama kizuizi kinalenga jina la seva yako au kila kipindi cha TLS kwenye anwani hiyo.

Andika tabia iliyozingatiwa: kipindi kilidumu muda gani, soketi ilifunguka, kifungashio kiliandika salamu. Kila moja huifanya jaribio lijalo kuwa jembamba.

Jaribu kigeu kimoja kwa wakati mmoja

Kagua UDP kwanza, kwa sababu mitandao mingine huitupa kabisa na kushindwa kwa UDP hakuambii chochote kuhusu 443. Kisha jaribu TCP 443 bila kifungashio, kisha kifungashio kwenye 443. Soma kumbukumbu ya mteja kila hatua na usimame mara tu tabia inapobadilika.

Badilisha kipengele kimoja kwa jaribio. Bandari mpya, kifungashio kipya na siri mpya katika mbio moja hukufanya ushindwe kusema kipi kati ya vitatu kilikuwa muhimu.