OpenVPN 443లో ఇంకా నిరోధించబడిందా? నెట్వర్క్ ఏమి తనిఖీ చేస్తుందో చూడండి

సొరంగం ఇంటి లైన్ నుండి కనెక్ట్ అవుతుంది మరియు హోటల్ లేదా కార్యాలయ నెట్వర్క్లో ఆగిపోతుంది, సర్వర్ను పోర్ట్ 443కి మార్చడం ఏమీ మార్చలేదు. ఈ ఫలితం చాలా సాధారణం కాబట్టి దానికి ఒక ఆకారం ఉంది: పోర్ట్ సులభమైన భాగం, మిగిలిన నిర్ణయం క్లయింట్ మరియు సర్వర్ మధ్య కూర్చున్న అన్నింటికీ చెందుతుంది. రెండు ప్రశ్నలు చాలా సందర్భాలను పరిష్కరిస్తాయి, వాటిలో ఏదీ సైఫర్ల గురించి కాదు. నెట్వర్క్ ఆ చిరునామాకు TLS హ్యాండ్షేక్ను అంగీకరిస్తుందా, సొరంగం పైన ఉన్నప్పుడు క్లయింట్ తన కవచానికి మార్గాన్ని ఉంచుకుంటుందా?

హ్యాండ్షేక్ సంఖ్య కంటే ఎక్కువ చెబుతుంది

TCP 443లోని స్థానిక VPN శ్రోత మొదటి ప్యాకెట్ నుండే తన ప్రోటోకాల్లో మాట్లాడుతుంది. ClientHelloలో వెర్షన్ ఫీల్డ్, యాదృచ్ఛిక విలువ మరియు పొడిగింపుల జాబితా ఉంటాయి, కొన్ని వందల బైట్లు చదివే పరికరం ఏమీ డీక్రిప్ట్ చేయకుండానే తేడాను గుర్తించగలదు. పోర్ట్ నంబర్లను తృప్తిపరచడం చవక, మరియు ఫిల్టర్ నిజంగా తనిఖీ చేసేది ప్రోటోకాల్ ఆకారమే. నియమాలు సాధారణంగా ప్రోటోకాల్ ప్రకారమూ రాయబడతాయి, కాబట్టి TLSని తనిఖీ చేసే విధానం UDP గురించి ఏమీ చెప్పదు.

చెల్లుబాటు అయ్యే TLS సెషన్ను కోరే పారదర్శక ప్రాక్సీ సెటప్ సమయంలోనే కనెక్షన్ను వదిలేస్తుంది, తరచుగా TCP హ్యాండ్షేక్ పూర్తయిన తర్వాత. ఆ వివరం తర్వాత ముఖ్యం, ఎందుకంటే సాకెట్ ఏర్పడిన తర్వాత క్లయింట్ లాగ్ ఆగిపోతుందని అర్థం.

ప్రవాహాన్ని కవచంలో చుట్టడం రెండు వైఫల్య స్థానాలను సృష్టిస్తుంది

stunnel వంటి TLS కవచం ఆశించిన ఆకారాన్ని పునరుద్ధరిస్తుంది: క్లయింట్ స్థానిక శ్రోతతో కనెక్ట్ అవుతుంది, కవచం సర్వర్తో 443లో నిజమైన TLS సెషన్ను తెరుస్తుంది, సర్వర్లోని రెండవ కవచం డీక్రిప్ట్ చేసిన బైట్లను VPN డీమన్కు పంపుతుంది. బయటి సెషన్ ఇప్పుడు ఏదైనా ఇతర HTTPS కనెక్షన్లా కనిపిస్తుంది. సర్వర్లోని VPN డీమన్ loopbackలో మాత్రమే వినాలి, ఎందుకంటే కవచం బయట ఏదీ దానిని చేరుకోవాల్సిన అవసరం లేదు.

ఆ రూపకల్పనకు మూడు వేర్వేరు విషయాలు సరిపోలాలి. క్లయింట్ ప్రొఫైల్ స్థానిక శ్రోతను సూచిస్తుంది, సర్వర్ సర్టిఫికేట్ క్లయింట్ ధృవీకరించే పేరుతో సరిపోతుంది, సర్వర్ వైపు ఫార్వార్డింగ్ డీమన్ నిజంగా ఉపయోగించే పోర్టును లక్ష్యంగా చేసుకుంటుంది. వాటిలో ఏదైనా తప్పైతే VPN పొరను చేరుకునే ముందే కనెక్షన్ చనిపోతుంది. అప్పుడు సర్టిఫికేట్ అసమతుల్యత VPN లోపంగా కాకుండా కవచం లోపంగా కనిపిస్తుంది, అందుకే రెండు లాగ్లను పక్కపక్కన చదవడం విలువైనది.

కవచానికి వెళ్లే మార్గమే ఉచ్చు

సొరంగం పైకి వచ్చిన వెంటనే డిఫాల్ట్ మార్గం దానిలోకి సూచిస్తుంది, బయటి TLS సెషన్కు అది మోసుకెళ్తున్న సొరంగంలోకి ప్రవేశించని మార్గం కావాలి. సాధారణ VPN క్లయింట్ తాను డయల్ చేసే చిరునామాను రక్షిస్తుంది; కవచిత క్లయింట్ తన loopbackను డయల్ చేస్తుంది, కాబట్టి కవచం గమ్యస్థాన చిరునామా ఆ రక్షణకు కనిపించదు.

sudo ip route add 198.51.100.20 via 192.168.0.1
sudo openvpn --config client.ovpn
sudo ip route del 198.51.100.20

ఖచ్చితమైన చిరునామాలను మీరే నింపండి, మార్గం కనెక్షన్ పూర్తి జీవితకాలంలో ఉండాలి, ప్రారంభంలో మాత్రమే కాదు. క్లయింట్కు ముందు మార్గాన్ని జోడించి తర్వాత తీసే చిన్న కవచ స్క్రిప్ట్ గుర్తుంచుకున్న ఆదేశం కంటే నమ్మదగినది.

Androidలో ఆ మినహాయింపుకు సమానమైనది ప్రతి యాప్కు సెట్టింగ్: కవచ యాప్ను సొరంగం నుండి మినహాయించండి, దాని స్వంత ట్రాఫిక్ మొబైల్ కనెక్షన్ ద్వారా బయటకు వెళ్తుంది. మినహాయించకపోతే కవచం తాను నిర్మించబోయే సొరంగంలోకి పంపబడుతుంది, తిరిగి కనెక్ట్ అయ్యే చక్రం సర్వర్ సమస్యలా కనిపిస్తుంది.

ఏదైనా మార్చే ముందు సమయాన్ని చదవండి

ప్రతిసారీ అదే విరామం తర్వాత చనిపోయే సెషన్ క్రిప్టోగ్రాఫిక్ వైఫల్యం కాదు, విధానపు సంతకం, దీర్ఘకాలిక ప్రవాహ పరిమితులు సరిగ్గా ఆ నమూనాను సృష్టిస్తాయి. హ్యాండ్షేక్ తర్వాత వెంటనే రీసెట్ అయ్యే కనెక్షన్ సర్టిఫికేట్ గొలుసు ఇష్టపడని ప్రాక్సీని సూచిస్తుంది.

రెండు నెట్వర్క్ల నుండి సాధారణ HTTPS సైట్ సర్టిఫికేట్ జారీదారుని పోల్చండి. నిరోధిత నెట్వర్క్లో జారీదారు భిన్నంగా ఉంటే మధ్యలో ఏదో TLS ముగిస్తోంది, ఏ కవచం ఆ అడ్డంకిని మార్పు లేకుండా దాటదు. అదే పోలిక నిరోధం మీ సర్వర్ పేరును లక్ష్యంగా చేసుకుంటుందా లేదా ఆ చిరునామాలోని ప్రతి TLS సెషన్ను అని చెబుతుంది.

కనిపించిన ప్రవర్తనను రాయండి: సెషన్ ఎంత కాలం ఉంది, సాకెట్ తెరిచిందా, కవచం హ్యాండ్షేక్ను లాగ్ చేసిందా. వాటిలో ప్రతి ఒక్కటి తదుపరి పరీక్షను సంకుచితం చేస్తుంది.

ఒకేసారి ఒక వేరియబుల్ పరీక్షించండి

మొదట UDPని తనిఖీ చేయండి, కొన్ని నెట్వర్క్లు దాన్ని పూర్తిగా వదిలేస్తాయి, UDP వైఫల్యం 443 గురించి ఏమీ చెప్పదు. తర్వాత కవచం లేకుండా TCP 443 ప్రయత్నించండి, ఆపై 443లో కవచం. ప్రతి దశలో క్లయింట్ లాగ్ చదవండి మరియు ప్రవర్తన మారిన వెంటనే ఆపండి.

ప్రతి ప్రయత్నానికి ఒక అంశాన్ని మార్చండి. కొత్త పోర్ట్, కొత్త కవచం మరియు కొత్త సైఫర్ ఒకే పరుగులో ఉంటే మూడింటిలో ఏది ముఖ్యమో చెప్పలేరు.