HTTP ప్రాక్సీ ద్వారా OpenVPN: మొదట CONNECT ప్రత్యుత్తరం చదవండి
CONNECT ప్రాక్సీ బైట్లను రిలే చేస్తుంది, కాబట్టి రెండు చివరలకూ TCP అవసరం. సర్టిఫికెట్లను నిందించే ముందు 407, 403 మరియు 503 చదవండి, సర్వర్ ధృవీకరణను ఆన్లో ఉంచండి.
VPN క్లయింట్ను కార్పొరేట్ HTTP ప్రాక్సీ వైపు మళ్లించండి, మొదటి ఉపయోగకరమైన విషయం ఏమిటంటే ప్రాక్సీ VPN ప్రోటోకాల్ మాట్లాడదు. ఇది మీరు చెప్పిన చిరునామాకు సాధారణ TCP కనెక్షన్ తెరిచి తర్వాత పక్కకు జరుగుతుంది, మీ క్లయింట్ మరియు సర్వర్ ఆ స్ట్రీమ్ ద్వారా తమ మార్పిడిని చేసుకుంటాయి. క్లయింట్కు కావాల్సినవన్నీ, రవాణా రకం నుంచి సర్వర్ వినేవాడి వరకు, ఆ ఏర్పాటుకు సరిపోలాలి. రెండు అసమతుల్యతలు చాలా వైఫల్యాలను వివరిస్తాయి: CONNECT ప్రాక్సీ వైపు లక్ష్యంగా ఉన్న UDP ప్రొఫైల్, మరియు VPN లోపంగా పొరపాటుగా అర్థం చేసుకున్న ప్రాక్సీ ప్రత్యుత్తరం.
ప్రాక్సీ ఏమి మోస్తుంది, ఏమి మోసుకుపోదు
ప్రాక్సీ కేవలం ఒక రవాణా దశ. ఇది మీ బ్రౌజర్ ప్రాక్సీగా మారదు, సొరంగం ద్వారా మీరు సందర్శించే సైట్లను కాష్ చేయదు, ఎవరైనా ఉద్దేశపూర్వకంగా తనిఖీని సెట్ చేయకపోతే లోపలి ట్రాఫిక్ను చూడదు. ఇది తెరిచే సొరంగం రూపకల్పన ప్రకారమే దానికి అపారదర్శకం.
దీని అర్థం సరిపోలే వినేవాడు లేని సర్వర్ను ప్రాక్సీ సరిచేయలేదు. గమ్యాన్ని చేరుకునే అనుమతి మరియు ఆ గమ్యంలో వినిపించే సేవ రెండు వేర్వేరు వాస్తవాలు, మొదటిది మాత్రమే ప్రాక్సీ నిర్వాహకుడిది.
వాహకం రెండు చివరలా TCP అయి ఉండాలి
సాంప్రదాయ CONNECT ప్రాక్సీ కేవలం బైట్ స్ట్రీమ్ను రిలే చేస్తుంది , కాబట్టి క్లయింట్ స్ట్రీమ్ రవాణాను ఉపయోగించాలి. ఆ సందర్భానికి క్లయింట్ భాగం ఇలా కనిపిస్తుంది:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128సర్వర్ వైపు remote పంక్తిలో చెప్పిన పోర్ట్లో నిజమైన TCP వినేవాడు అవసరం. ప్రొఫైల్లో proto udp ను proto tcp-client గా మార్చడం స్ట్రీమ్ను ఆశించే క్లయింట్ను సృష్టిస్తుంది; అది అవతలి వైపు స్ట్రీమ్ను సృష్టించదు. అదే సర్వర్ ఆ పోర్ట్లో UDP ద్వారా కూడా ప్రత్యుత్తరం ఇస్తే, అది మరో వినేవాడు, అదే వినేవాడి రెండో మోడ్ కాదు.
వేరే TCP ఇన్స్టాన్స్ ఉన్న చోట, దాని సొరంగ పరికరం, చిరునామా పూల్ మరియు రూటింగ్ దాని సొంత వనరులు. పనిచేసే కాన్ఫిగరేషన్ను కాపీ చేసి రవాణా పదాన్ని మార్చడం ఆ వనరులను అసలు ఇన్స్టాన్స్ వైపే చూపిస్తూ ఉంచుతుంది, ఇది ధృవీకరణ జరిగి తర్వాత ఏమీ రూట్ చేయని కనెక్షన్ను ఉత్పత్తి చేస్తుంది.
VPN ఫలితానికి ముందు ప్రాక్సీ ప్రత్యుత్తరం చదవండి
క్లయింట్ మొదటి మార్పిడి గమ్య హోస్ట్ మరియు పోర్టును పేర్కొనే అభ్యర్థన పంక్తి. ఆ పంక్తికి ప్రత్యుత్తరం బైట్ స్ట్రీమ్ ఉందా లేదా అని చెబుతుంది, ఏదైనా సర్టిఫికెట్ లేదా ఆధారం తనిఖీ చేయబడక ముందే వస్తుంది:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
CONNECT కు 200 తరగతి ప్రత్యుత్తరం అంటే స్ట్రీమ్ ఉంది. గేట్వే సర్టిఫికెట్ నమ్మదగినదా, పంచుకున్న కీ సరిపోతుందా, లేదా వినియోగదారు ఖాతా చెల్లుబాటు అవుతుందా అని అది చెప్పదు. ఆ తనిఖీలు తర్వాత, స్ట్రీమ్ లోపల జరుగుతాయి, అవి HTTP స్థితి పంక్తికి బదులు క్లయింట్ సొంత సందేశాలతో విఫలమవుతాయి. క్లయింట్ లాగ్లో మొదటి OpenVPN సంఘటనను ప్రాక్సీ హ్యాండ్షేక్ తర్వాత చూడండి, విండో మూసివేయడానికి ముందు చివరి పంక్తి కాదు.
ప్రాక్సీ ఆధారాలు మరియు VPN ఆధారాలు తరచుగా వేర్వేరు జట్ల వద్ద ఉన్న వేర్వేరు గుర్తింపులు. 407 అనేది VPN ఖాతా తప్పు పాస్వర్డ్ కాదు, తిరస్కరించబడిన సర్టిఫికెట్ ప్రాక్సీ అనుమతి సమస్య కాదు.
CONNECT ఏమి బహిర్గతం చేయదు
స్పష్టమైన CONNECT సొరంగం చొరబాటు కాదు. ప్రాక్సీ బైట్లను పంపుతుంది, VPN యొక్క TLS సెషన్ను ముగించదు, కాబట్టి సర్వర్ సర్టిఫికెట్ యొక్క క్లయింట్ ధృవీకరణ అర్థవంతంగా ఉంటుంది, ఆన్లోనే ఉండాలి. ప్రాక్సీని దాటడానికి ధృవీకరణను ఆఫ్ చేయడం మీ సమస్యకు భిన్నమైన సమస్యను పరిష్కరిస్తుంది.
సంస్థ ఉద్దేశపూర్వకంగా TLS ను ముగించి తనిఖీ చేసే వేరే ఏర్పాట్లు కూడా ఉన్నాయి. వాటికి వాటి సొంత విశ్వాస కాన్ఫిగరేషన్ మరియు సొంత విధాన నిర్ణయం అవసరం, సాధారణ http-proxy పంక్తి అడిగేది అవి కావు.
TCP లోపల TCP ఖర్చు
సొరంగాన్ని TCP మీద మోసుకెళ్లడం బయటి స్ట్రీమ్ను క్రమంగా మరియు పునఃప్రసారంతో ఉంచుతుంది, లోపలి ట్రాఫిక్ కూడా సాధారణంగా TCP. రెండు పునరుద్ధరణ విధానాలు సమన్వయం చేసుకోవు, కాబట్టి ఒక పోయిన సెగ్మెంట్ ఆ బయటి స్ట్రీమ్ను పంచుకునే ప్రతిదాన్ని పునఃప్రసారం అయ్యే వరకు ఆపగలదు. ఇది అనుకూలత కోసం నిజమైన మార్పిడి, ఉచిత అప్గ్రేడ్ కాదు.
నెట్వర్క్ వేరే మార్గం ఇవ్వనప్పుడు ప్రాక్సీ మార్గాన్ని ఉపయోగించండి, విధానం అనుమతించే చోట నేరుగా UDP మార్గానికి ప్రాధాన్యం ఇవ్వండి. ఏదేమైనా, మార్పు తర్వాత అదే ప్రాక్సీ, గమ్యం మరియు ప్రొఫైల్ తదుపరి దశకు చేరుతాయని నిర్ధారించుకోండి; ఆ చిరునామాలో పేజీ లోడ్ చేసే బ్రౌజర్ మరో ప్రోటోకాల్ను ఉపయోగిస్తుంది, సొరంగం గురించి ఏమీ నిరూపించదు.