Urekebishaji upya wa TCP hauthibitishi kuwa VPN yako inazuiwa

«Muunganisho umerekebishwa upya, inaanza upya» huonekana kwenye kumbukumbu ya mteja, na hitimisho huja kabla ya ushahidi. Mtu anaamua kuwa mtandao unazuia VPN, au cheti si sahihi, au nchi fulani inaingilia. Urekebishaji upya ni pakiti ya TCP inayomaliza muunganisho, na mstari wa kumbukumbu hurekodi kuwa mteja wako alipokea moja. Hautaji kifaa kilichoituma wala sababu.

Urekebishaji upya ni pakiti, si hukumu

TCP inafafanua uchakataji wa urekebishaji upya: sehemu yenye bendera ya RST humaliza muunganisho papo hapo. Mpokeaji hajadiliane, hajaribu tena na hajiulizi kwa nini. Anaripoti urekebishaji upya na kuendelea.

Hiyo ndiyo yote ambayo mteja anajua. RST inaweza kuwa ilitoka kwa seva, proksi, ukuta wa moto au kisawazisha mzigo kilichopoteza hali yake.

Kuhusisha chanzo ni zoezi tofauti. Anwani ya chanzo inayoonekana kwenye kunasa si uthibitisho wa asili halisi na haisemi chochote kuhusu uamuzi wa sera ulio nyuma yake. Vifaa vya kati vinaweza kughushi anwani, na vifaa vyenye hali vinaweza kurekebisha upya kwa sababu ya muda kuisha badala ya kusudi. Kuchukua urekebishaji upya kama hukumu kunaruka sehemu ambayo unagundua ukweli.

Thibitisha ni muunganisho gani uliorekebishwa upya

Kwanza angalia kama wasifu unaotumika kwa kweli unatumia TCP. Urekebishaji upya kwenye handaki la UDP hauna maana, na kumbukumbu ya proksi ya HTTP inaweza kuhusu sehemu nyingine ya TCP kuliko VPN yenyewe.

Rekodi lengwa, bandari, muda wa jaribio na hatua ambayo mteja alikuwa amefikia.

Hatua ni sehemu yenye manufaa zaidi. Urekebishaji upya wakati wa kupeana mikono kwa TLS unaonyesha kundi moja la washukiwa; urekebishaji upya baada ya uthibitishaji unaonyesha lingine. Bila hatua, kila nadharia inafaa.

Linganisha ncha mbili za njia

Ikiwa unasimamia seva, linganisha matukio yake kwa jaribio hilo hilo. Ilikubali muunganisho? Iulifunga kwa makusudi? Jibu liliondoka kwenye mpaka mmoja na halikufika kwenye ule unaofuata?

Nasa kwa mteja na kwa seva ikiwa unaweza. Urekebishaji upya unaoonekana kwa mteja lakini si kwa seva haukuanzia kwa seva.

Angalia sehemu za RST katika pande zote mbili:

sudo tcpdump -ni any 'tcp[tcpflags] & tcp-rst != 0' -c 20
ss -tnp | grep 198.51.100.20

Punguza kwa ulinganishaji unaodhibitiwa

Mtandao wa pili ulioidhinishwa unaweza kukuambia kama hitilafu inafuata mteja au njia. Ikiwa wasifu huo unafanya kazi mahali pengine, usanidi wa mteja pengine ni sawa na kigezo ni njia.

Hii bado haitambui kifaa kimoja maalum cha kati. Inapunguza wigo hadi njia moja, ambayo ni matokeo yenye manufaa na ya uaminifu.

Hifadhi tofauti kati ya njia hii inashindikana na mhusika huyu aliyetajwa aliisababisha. Ya kwanza inaweza kujaribiwa; ya pili kwa kawaida si kutoka kwa mteja mmoja.

Thibitisha marekebisho bila kubadilisha mipangilio ya uaminifu

Usizime uthibitishaji wa TLS, usizalishwe upya vitambulisho na usitangaze sera ya kuzuia kutokana na mstari mmoja wa urekebishaji upya. Kila moja ya mabadiliko hayo hubadilisha mfumo unaojaribiwa na hufanya ulinganishaji unaofuata usiwe na maana.

Rekebisha sehemu iliyotambuliwa kupitia mmiliki wake, kisha rudia wasifu huo na uchunguzi huo:

openvpn --config client.ovpn --verb 4
sudo tcpdump -ni any 'host 198.51.100.20 and tcp' -c 40

Matokeo yenye manufaa ni hitilafu iliyopangwa vyema, si hadithi yenye kujiamini zaidi. Ikiwa urekebishaji upya unatoweka baada ya marekebisho ya proksi, una sababu. Ikiwa unahamia hatua nyingine, umejifunza kitu kuhusu njia. Kwa vyovyote, ushahidi unapaswa kustahimili kusomwa na mtu wa pili. Andika ulichoona, si ulichohitimisha.