OpenVPN kupitia proksi ya HTTP: soma kwanza jibu la CONNECT

Elekeza mteja wa VPN kwenye proksi ya HTTP ya kampuni, na ukweli wa kwanza wenye manufaa ni kwamba proksi haizungumzi itifaki ya VPN. Inafungua muunganisho wa kawaida wa TCP kwenye anwani uliyotaja kisha inajitenga kando, ikiruhusu mteja na seva kufanya ubadilishanaji wao wenyewe kupitia mtiririko huo. Kila kitu mteja anachohitaji, kutoka aina ya usafirishaji hadi msikilizaji wa seva, lazima kilingane na mpangilio huo. Tofauti mbili zinaeleza kushindwa kwingi: profaili ya UDP inayoelekea proksi ya CONNECT, na jibu la proksi linalodhaniwa kimakosa kuwa hitilafu ya VPN.

Kile proksi hubeba, na kile haibeba

Proksi ni hatua ya usafirishaji tu. Haibadiliki kuwa proksi ya kivinjari chako, haihifadhi kwenye akiba tovuti unazotembelea kupitia handaki, na haioni trafiki ya ndani isipokuwa mtu ameweka ukaguzi kwa makusudi. Handaki inayofungua ni isiyo wazi kwake kwa muundo.

Hiyo inamaanisha pia kwamba proksi haiwezi kurekebisha seva isiyo na msikilizaji unaolingana. Ruhusa ya kufikia lengwa na huduma inayosikiliza kwenye lengo hilo ni mambo mawili tofauti, na la kwanza pekee ni la msimamizi wa proksi.

Mtoa huduma lazima awe TCP kwenye pande zote mbili

Proksi ya kawaida ya CONNECT husambaza mtiririko wa baiti pekee , kwa hivyo mteja lazima atumie usafirishaji wa mtiririko. Kipande cha mteja kwa kesi hiyo kinaonekana hivi:

proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128

Upande wa seva unahitaji msikilizaji halisi wa TCP kwenye bandari iliyotajwa kwenye mstari wa remote. Kubadilisha proto udp kuwa proto tcp-client kwenye profaili hutengeneza mteja anayetarajia mtiririko; hakutengenezi mtiririko upande wa pili. Ikiwa seva hiyo hiyo inajibu pia kupitia UDP kwenye bandari hiyo, huyo ni msikilizaji mwingine, si hali ya pili ya yule yule.

Palipo na kipengele tofauti cha TCP, kifaa chake cha handaki, bwawa la anwani na uelekezaji ni rasilimali zake zenyewe. Kunakili usanidi unaofanya kazi na kubadilisha neno la usafirishaji huacha rasilimali hizo zikielekea kipengele cha awali, ambayo hutoa muunganisho unaothibitisha kisha hauuelekezi kitu.

Soma jibu la proksi kabla ya matokeo ya VPN

Ubadilishanaji wa kwanza wa mteja ni mstari wa ombi unaotaja mwenyeji na bandari ya lengo. Jibu la mstari huo linakuambia ikiwa mtiririko wa baiti upo kabisa, na linakuja kabla ya cheti au kitambulisho chochote kukaguliwa:

CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194

Jibu la darasa la 200 kwa CONNECT linamaanisha mtiririko upo. Halisemi kitu kuhusu ikiwa cheti cha lango kinaaminika, ikiwa ufunguo ulioshirikiwa unalingana, au ikiwa akaunti ya mtumiaji ni halali. Ukaguzi huo hufanyika baadaye, ndani ya mtiririko, na hushindwa kwa ujumbe wa mteja mwenyewe badala ya mstari wa hali ya HTTP. Soma kumbukumbu ya mteja kwa tukio la OpenVPN kwanza baada ya kupeana mkono na proksi, si mstari wa mwisho kabla ya dirisha kufungwa.

Vitambulisho vya proksi na vitambulisho vya VPN mara nyingi ni utambulisho tofauti mikononi mwa timu tofauti. 407 si nenosiri baya la akaunti ya VPN, na cheti kilichokataliwa si tatizo la ruhusa ya proksi.

Kile CONNECT haikifichui

Handaki ya wazi ya CONNECT si unyakuzi. Proksi husambaza baiti na haimalizi kipindi cha TLS cha VPN, kwa hivyo uthibitishaji wa cheti cha seva na mteja unabaki na maana na unapaswa kubaki umewashwa. Kuzima uthibitishaji ili kupita proksi hutatua tatizo tofauti na lako.

Kuna mipangilio tofauti ambapo shirika hukamilisha na kukagua TLS kwa makusudi. Hiyo inahitaji usanidi wao wa uaminifu na uamuzi wao wa sera, na si kile ambacho mstari wa kawaida wa http-proxy unaomba.

Gharama ya TCP ndani ya TCP

Kubeba handaki juu ya TCP huweka mtiririko wa nje ukiwa katika mpangilio na ukiwa unatumwa upya, na trafiki ya ndani kwa kawaida pia ni TCP. Mbinu hizo mbili za urejeshaji haziratibu, kwa hivyo sehemu moja iliyopotea inaweza kusimamisha kila kitu kinachoshiriki mtiririko huo wa nje hadi itumwe upya. Hiyo ni kubadilishana halisi kwa uoanifu, si uboreshaji wa bure.

Tumia njia ya proksi wakati mtandao haukuachi njia mbadala, na upendelee njia ya moja kwa moja ya UDP pale sera inaporuhusu. Kwa vyovyote vile, baada ya mabadiliko thibitisha kwamba proksi, lengo na profaili sawa zinafika hatua inayofuata; kivinjari kinachopakia ukurasa kwenye anwani hiyo hutumia itifaki nyingine na hakithibitishi chochote kuhusu handaki.