Kituo kimoja cha mwisho cha VPN kupitia Squid: ubaguzi mwembamba wa CONNECT

Squid hujibu ombi la CONNECT kwa mstari wa kwanza wa http_access unaolingana, na mstari huo unaweza kuwa kukataliwa. Ukweli huu mmoja unaeleza kwa nini ubaguzi wa kituo cha mwisho cha VPN kwa kawaida hushindwa katika jaribio la kwanza, kwa sababu ombi halifiki kamwe idhini ambayo mtu aliongeza mwishoni. Marekebisho mwembamba yanahifadhi walinzi wa bandari waliopo na kuwafundisha chanzo kimoja kilichopitiwa, lengwa na bandari. Kila kitu kingine kwenye proksi hufanya kama zamani.

Jinsi Squid huamua ombi la CONNECT

Ombi la CONNECT hutaja mwenyeji na bandari, na Squid hupitia mistari ya http_access kwa mpangilio hadi mmoja wao ulingane. Kukataliwa kunakolingana hukomesha tathmini mara moja na mteja hupokea 403 kutoka kwa proksi. Ndiyo sababu nafasi ya kanuni ni muhimu zaidi kuliko maneno yake. Kuhamisha mstari huo huo hatua moja juu kunaweza kubadilisha matokeo kabisa.

Walinzi wa kawaida hukataa kila kitu nje ya Safe_ports na hukataa CONNECT nje ya SSL_ports. Majina hayo ni ACL zilizofafanuliwa katika usanidi wako mwenyewe, kwa hiyo maudhui yao ni yako na si ya itifaki. Usambazaji unaweza kuruhusu bandari nyingi kama Safe_ports huku ukizuia CONNECT kwa namna tofauti. Soma thamani halisi kabla ya kudhani bandari imezuiwa kwa muundo.

Thibitisha kuwa proksi ndiyo sehemu inayokataa ombi. 403 inayozalishwa na Squid haifanani kabisa na onyo la TLS kutoka kwa seva ya VPN, na kuunganisha vyote viwili katika tatizo moja hugharimu saa ya kwanza. Angalia mstari wa kumbukumbu ya ufikiaji kwa ombi, kwa sababu hurekodi kitendo na kanuni iliyokizalisha.

Jenga ulinganifu mmoja uliounganishwa badala ya ACL tatu zilizo huru

Jenga ubaguzi kutokana na mambo matatu: kiwango cha chanzo kilichoidhinishwa, anwani moja ya lengwa iliyoidhinishwa na bandari moja ambayo kituo cha mwisho kinasikiliza. ACL mbili huru na ulinganifu mmoja uliounganishwa huzalisha sera tofauti sana, kwa sababu kinachotathminiwa ni mchanganyiko. Ita ACL iliyounganishwa kwa kile inachoruhusu, si kwa njia inayobeba.

Umbo lililo chini linatumia viwango vya nyaraka ambavyo vinapaswa kubadilishwa na thamani zilizopitiwa. Squid haiweki jina lolote kati ya haya kwa ajili yake, kwa hiyo wewe ndiye unayechagua na wewe ndiye unayeyahifadhi kwa uthabiti. Kichocheo hiki kimewekwa kwa Squid 6 na 7, ambazo usanidi wao ulioandikwa unasaidia kikundi cha all-of. Rejeleo la sasa linaonyesha maagizo hayo hayapatikani katika Squid 8, kwa hiyo chukua hili kama kichocheo kilichofungwa na toleo na si njia ya uhamishaji, na angalia agizo katika rejeleo la toleo lako mwenyewe kabla ya kulitumia.

acl pvpn_src src 192.0.2.128/25
acl pvpn_dst dst 198.51.100.77/32
acl pvpn_port port 1194
acl pvpn_ok all-of CONNECT pvpn_port pvpn_dst pvpn_src

Kikundi cha all-of hulingana tu wakati kila mwanachama analingana, kumaanisha chanzo, lengwa na bandari hukaguliwa katika mstari mmoja. Kikundi chenyewe hakitoi kitu, na ombi linalolingana na mambo mawili pekee kati ya matatu haliwezi kulitosheleza. Sifa hiyo huiweka ubaguzi mwembamba wakati mtu anaongeza lango la pili baadaye. Ama lengwa jipya linaongezwa kwa makusudi, ama ombi linarejea kwa walinzi wa awali.

Pinda walinzi wa bandari bila kuwaondoa

Katika nafasi zao za sasa, mistari miwili ya kawaida ya walinzi inaonekana hivi. Kwa kawaida huwa baada ya uthibitishaji na kabla ya mistari ya sera inayoruhusu kila kitu.

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

Ongeza ulinganifu uliounganishwa uliokanushwa kwa kila mmoja, ili ubaguzi unaolingana uendelee kupita mlindaji ambaye angelikataa. Mistari ya walinzi pekee hubadilika, na kila mmoja kwa sharti moja la ziada.

http_access deny CONNECT !SSL_ports !pvpn_ok
http_access deny !Safe_ports !pvpn_ok

Masharti katika mstari mmoja wa ufikiaji huunganishwa, kwa hiyo mstari sasa hukataa maombi yanayoshindwa katika ukaguzi wa awali na katika ubaguzi pia. Ombi kwa kituo cha mwisho kilichoidhinishwa hupita, na kila ombi lingine huhifadhi tabia ya zamani ya bandari. Hii ni nyembamba kuliko kuongeza bandari kwenye orodha ya jumla ya SSL_ports, ambayo ingeruhusu bandari hiyo kwa kila lengwa. Ikiwa bandari tayari iko kwenye orodha hiyo, ACL hii haibani chochote na idhini ya zamani na pana zaidi bado inatumika kwa maeneo mengine, kwa hiyo soma orodha halisi kabla ya kudai ubaguzi ulifungua bandari. Pia inaweza kurudishwa, kwa sababu mistari miwili inarudi kwenye umbo lake la awali. Rejeleo la udhibiti wa ufikiaji linaandika mpangilio na walinzi wa kawaida ambao mabadiliko haya yanategemea.

Mahali ubaguzi haupaswi kuwekwa

Mjaribu ni kuweka idhini juu ya walinzi na kumaliza. Nafasi hiyo pia inaruka kinga za uthibitishaji na lengwa la ndani ambazo kwa kawaida huwa karibu na juu ya usanidi unaofanya kazi. Matokeo si ubaguzi mwembamba, ni shimo lenye maoni juu yake. Weka idhini yoyote mpya katika hatua ile ile iliyopitiwa kama sera nyingine ya mteja.

Angalia ombi bado linahitaji nini baada ya walinzi wa bandari. Akaunti iliyothibitishwa, anwani ya mteja iliyoruhusiwa na sera ya lengwa zote bado zinatumika, na ubaguzi haubadilishi hata moja. Ikiwa proksi yako tayari inaruhusu akaunti iliyoidhinishwa kufikia maeneo holela, mlindaji wa bandari hakuwahi kuwa udhibiti wa kweli.

Fikiria kama kituo cha mwisho ni TCP. Ubaguzi wa CONNECT hubeba mitiririko ya TCP, na wasifu wa OpenVPN unaotumia UDP hautafikiwa kupitia hiyo. Badilisha wasifu kuwa TCP tu ikiwa seva inasikiliza hivyo na mwendeshaji anakubali tofauti ya tabia.

Angalia mpaka kwa kichanganuzi na ombi halisi

Changanua usanidi kabla ya kupakia upya, na weka kikao cha pili wazi unapofanya hivyo. Hitilafu ya sintaksia wakati wa kupakia upya inaweza kuacha proksi kwenye usanidi wa zamani au kukataa mpya kabisa. Kichanganuzi huripoti mstari uliokataliwa, ambayo ni zaidi ya kile hitilafu ya mteja itakuambia.

Kisha pakia upya na tuma CONNECT moja halisi kupitia proksi kutoka chanzo kilichoidhinishwa. Uendeshaji wa kichanganuzi huja kwanza, kwa sababu kupakia upya kwa hitilafu ya uchapaji hakukufundishi chochote kuhusu sera.

squid -k parse
squid -k reconfigure
curl -v -p -x http://proxy.lab.internal:3128 https://vpn.lab.internal:1194/ --max-time 5

Jaribu hali tatu: chanzo na akaunti zilizoidhinishwa, chanzo kisichoidhinishwa, na lengwa tofauti kwenye bandari hiyo hiyo. Hali ya tatu ndiyo inayothibitisha kuwa ubaguzi ni mwembamba, kwa sababu inajaribu bandari bila ulinganifu wa lengwa. Soma kumbukumbu ya ufikiaji kwa zote tatu badala ya kuamini ujumbe wa mteja. CONNECT iliyofanikiwa huanzisha mtiririko wa TCP na hakuna zaidi, kwa hiyo kupeana mikono kwa VPN kunabaki kuwa jaribio tofauti.