VPN imezuiwa kwenye mtandao wa wavuti pekee? Fanya kazi kwa tabaka

Mtandao wa chuo au hoteli ambapo kivinjari kinafanya kazi na kila handaki inakufa si tatizo moja, ni tabaka nne zilizorundikwa. Njia inaweza kuruhusu TCP 443 pekee, kudai proksi iliyothibitishwa, kukagua salamu ya mikono, au kukataza kabisa ufikiaji wa mbali kwa sera. Kuzishughulikia kwa mpangilio hukuzuia kununua mteja mpya ili kurekebisha kanuni ya mtandao. Mwongozo hapa chini huchukua takriban dakika kumi na huisha kwa jibu lililoandikwa kuhusu tabaka gani lilikukataa.

Thibitisha ni tabaka gani linakataa muunganisho

Usianze na mteja wa VPN. Anza na ombi la kawaida la HTTPS kwa seva pangishi hiyo hiyo na soma awamu za muda, kwa sababu awamu inayoshindikana hukuambia ni kifaa gani kinahusika:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

Hakuna jibu na hakuna muda wa connect humaanisha TCP haikukamilika kamwe, kwa hiyo ukuta wa moto, sharti la proksi au lengo lisilofaa liko kazini. Muda wa connect bila muda wa tls humaanisha kwamba kitu katikati kilikubali muunganisho kisha kikasimamisha salamu ya mikono, na hivyo ndivyo proksi inayokagua inavyoonekana kutoka upande wa mteja.

Sasa kagua cheti unachopokea kwa kweli. Hii ni njia ya haraka zaidi kujua kama unazungumza na seva au na sanduku la kati lililotiia sahihi kipindi tena:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Soma mstari wa mtoaji. CA yako mwenyewe humaanisha ulifika huduma; mtoaji wa shirika au kifaa humaanisha kichujio kilimaliza muunganisho na kinaamua kinachofuata. Rekodi matokeo yote mawili na muhuri wa muda, kwa sababu jaribio hilo hilo baada ya saa moja kwenye mtandao wa wageni linaweza kutoa jibu tofauti.

Mteja anayefahamu proksi hubadilisha pakiti ya kwanza, si sera

Ikiwa mtandao unadai CONNECT kupitia proksi iliyothibitishwa, mteja wa VPN lazima aambiwe, vinginevyo atajaribu kufungua soketi kwa anwani asiyoweza kuielekeza. Jaribu proksi kando na mteja, ili kushindwa kuwe na maelezo moja:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

Amri ya kwanza inathibitisha proksi itabeba lengo. Ya pili inamwomba mteja atumie TCP kwenye 443, usafiri pekee ambao njia nyingi za wavuti pekee hupitisha kabisa. Ikiwa ya kwanza inafanikiwa na ya pili bado inashindikana, proksi si kizuizi.

Wateja wengine husoma proksi ya mfumo wa uendeshaji badala ya ubatilishaji, na wengine hawasomi yoyote. Kagua nyaraka za programu yenyewe kabla ya kudhani mpangilio wa mfumo mzima unatumika. Mteja anayetatua kituo cha mwisho kupitia kitatuzi ambacho proksi haihudumii pia atashindikana hapa, na ndiyo sababu mabadiliko ya DNS yanaweza kuonekana kama suluhisho wakati ni mchepuko tu.

Angalia pia muundo wa uelekezaji. Mtandao uliochujwa unaweza kujibu jina la seva pangishi la ugunduzi la muuzaji kwa kitu chake, ambacho hubadilisha wasifu wa proksi ambao mteja huchagua. Usijenge mchakato kuzunguka ugeni huo. Unatofautiana kwa tovuti, hubadilika bila taarifa, na si kitu unachoweza kusaidia kwa mtu mwingine.

Bandari 443 inafikiwa, hairuhusiwi

Kufunika handaki katika TLS kwenye 443 hutatua ufikikaji na hakuna kingine. Kichujio kinachokagua bandari kitakipitisha; kichujio kinachochukua alama ya kidole ya salamu ya mikono hakitakipitisha, na salamu ya mteja iliyofichwa huficha jina la seva tu wakati pande zote mbili zinaiunga mkono. Endesha jaribio na ujue uko nyuma ya kichujio cha aina gani badala ya kutumaini.

Pia kuna gharama ya utendaji ambayo watu huigundua baadaye. Usafiri wa kuaminika ndani ya usafiri wa kuaminika huongeza upotevu, kwa sababu rafu ya ndani hutuma tena sehemu ambazo rafu ya nje ilikuwa imetuma tena. Kwenye kiungo safi hakuna anayegundua. Kwenye mtandao wa pasiwaya wa chuo uliojaa tunneli inakuwa isiyotumika wakati hasa unaihitaji, na grafu inaonekana kama upotevu wa pakiti ingawa hakuna kinachotupwa kwa makusudi.

UDP kawaida ni mwathirika wa kwanza, na inafaa kuthibitisha badala ya kukisia. Ikiwa WireGuard au OpenVPN chaguo-msingi haikamilishi salamu ya mikono wakati TCP 443 inafanya kazi, mtandao unatupa UDP, na hakuna uundaji upya wa funguo utakaobadilisha hilo:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

Muhuri tupu wa muda wa salamu ya mikono kando ya mwenzake aliyefanya kazi jana ni jibu la UDP. Maswali mawili ya DNS hujibu swali lingine: ikiwa kitatuzi cha ndani na kitatuzi cha umma hawakubaliani kuhusu anwani ya kituo cha mwisho, unaelekezwa na hoja ya usafiri ndiyo isiyo sahihi.

Thibitisha kile kilichoondoka kwenye mashine kweli

Kumbukumbu za mteja hueleza anachokiamini mteja. Unasaji hueleza kile mtandao ulikiona, na tofauti kati ya hivyo viwili ndipo panapotatuliwa kesi nyingi za aina hii:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

Ukiona pakiti za SYN na hakuna SYN-ACK, kizuizi kiko juu na mteja hana hatia. Ukiona salamu ya mikono iliyokamilika kwa anwani ambayo si ya seva, unazungumza na proksi au mtekaji. Usikione chochote, kagua kama ulinasa kwenye kiolesura sahihi kabla ya kuhitimisha chochote.

Orodha ya soketi hukamata kisa cha hila zaidi: handaki ya pili ambayo tayari inashikilia njia chaguo-msingi. Wateja wawili wanaogombana kwa jedwali la uelekezaji huzalisha hitilafu za vipindi zinazoonekana kama mtandao uliozuiwa hasa, na unasaji utaonyesha trafiki ikitoka kupitia kiolesura usingekitarajia.

Kurudisha nyuma, na dokezo linalofaa kuhifadhiwa

Tendua mabadiliko kwa mpangilio wa kinyume wa ule uliotumia kuyafanya. Ondoa vigeu vya proksi, simamisha mteja uliyeanzisha kwa mkono, na uondoe ubatilishaji wowote wa njia au kitatuzi ulioongeza:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

Kuacha mteja aliyefunguliwa kwa mkono akiendelea kufanya kazi ndivyo kompyuta mpakato inavyoishia na mtandao uliovunjika kwenye ziara ijayo ya ofisi. Vigeu vya proksi vinavyoachwa kwenye wasifu wa ganda huvunja zana zisizohusiana wiki kadhaa baadaye, na anayezibua hataganisha matukio hayo mawili.

Kisha andika mistari minne: mtandao, muhuri wa muda, awamu iliyoshindikana, na mtoaji uliyemwona. Njia inayofanya kazi kwenye chuo kimoja na kushindikana kwenye kingine ni kawaida, na mtu anayefuata anahitaji kujua kama tofauti ilikuwa proksi, kitatuzi au kichujio. Ikiwa jibu ni kwamba mtandao unakataza ufikiaji wa mbali, simama hapo na muulize msimamizi njia inayotumika badala ya kubeba mchepuko kwenye sera ambayo haukuisoma.