వెబ్ మాత్రమే ఉన్న నెట్‌వర్క్‌లో VPN బ్లాక్? పొరలపై పని చేయండి

బ్రౌజర్ పని చేస్తూ ప్రతి టన్నెల్ చనిపోయే క్యాంపస్ లేదా హోటల్ నెట్‌వర్క్ ఒక సమస్య కాదు, నాలుగు పొరలు. మార్గం TCP 443కి మాత్రమే అనుమతి ఇవ్వవచ్చు, ప్రామాణీకృత ప్రాక్సీని కోరవచ్చు, హ్యాండ్‌షేక్‌ను పరిశీలించవచ్చు, లేదా విధానంతో దూర ప్రాప్యతను సరళంగా నిషేధించవచ్చు. వాటిని క్రమంగా పరిష్కరించడం నెట్‌వర్క్ నియమాన్ని సరిచేయడానికి కొత్త క్లయింట్ కొనడాన్ని నివారిస్తుంది. క్రింది మార్గదర్శిని సుమారు పది నిమిషాలు తీసుకుంటుంది మరియు ఏ పొర మిమ్మల్ని తిరస్కరించిందనే లిఖిత సమాధానంతో ముగుస్తుంది.

ఏ పొర కనెక్షన్‌ను తిరస్కరిస్తుందో నిరూపించండి

VPN క్లయింట్‌తో ప్రారంభించవద్దు. అదే హోస్ట్‌కు సాధారణ HTTPS అభ్యర్థనతో ప్రారంభించి సమయ దశలను చదవండి, ఎందుకంటే విఫలమయ్యే దశ ఏ పరికరం బాధ్యత అని చెబుతుంది:

curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect} code=%{http_code}\n' \
  --max-time 8 https://vpn.example.net/

సమాధానం లేకుండా connect సమయం లేకుండా ఉంటే TCP ఎప్పుడూ పూర్తి కాలేదు, కాబట్టి ఫైర్‌వాల్, ప్రాక్సీ అవసరం లేదా తప్పు గమ్యం ఆటలో ఉంది. connect సమయం ఉండి tls సమయం లేకుంటే మధ్యలో ఏదో కనెక్షన్‌ను అంగీకరించి హ్యాండ్‌షేక్‌ను ఆపింది, పరిశీలించే ప్రాక్సీ క్లయింట్ వైపు నుండి అలాగే కనిపిస్తుంది.

ఇప్పుడు మీరు నిజంగా పొందే సర్టిఫికేట్‌ను పరిశీలించండి. సర్వర్‌తో మాట్లాడుతున్నారా లేదా సెషన్‌పై మళ్లీ సంతకం చేసిన మధ్య పెట్టెతో అని తెలుసుకోవడానికి వేగవంతమైన మార్గం ఇదే:

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

జారీచేసినవారి వరుసను చదవండి. మీ సొంత CA అంటే సేవను చేరుకున్నారు; కార్పొరేట్ లేదా పరికర జారీచేసినవారు అంటే ఫిల్టర్ కనెక్షన్‌ను ముగించి తర్వాత ఏమి జరుగుతుందో నిర్ణయిస్తోంది. రెండు అవుట్‌పుట్‌లను సమయ ముద్రతో నమోదు చేయండి, ఎందుకంటే గంట తర్వాత గెస్ట్ నెట్‌వర్క్‌లో అదే పరీక్ష వేరే సమాధానం ఇవ్వవచ్చు.

ప్రాక్సీ గురించి తెలిసిన క్లయింట్ మొదటి ప్యాకెట్‌ను మారుస్తుంది, విధానాన్ని కాదు

నెట్‌వర్క్ ప్రామాణీకృత ప్రాక్సీ ద్వారా CONNECT కోరితే, VPN క్లయింట్‌కు చెప్పాలి, లేకుంటే అది మార్గనిర్దేశం చేయలేని చిరునామాకు సాకెట్ తెరవడానికి ప్రయత్నిస్తుంది. ప్రాక్సీని క్లయింట్ నుండి విడిగా పరీక్షించండి, వైఫల్యానికి ఒకే వివరణ ఉండాలి:

https_proxy=http://proxy.example.edu:3128 curl -v -o /dev/null https://vpn.example.net/
sudo openvpn --config /etc/openvpn/corp.conf --proto tcp-client \
  --remote vpn.example.net 443 --verb 4

మొదటి ఆదేశం ప్రాక్సీ గమ్యాన్ని మోస్తుందని నిరూపిస్తుంది. రెండవది క్లయింట్‌ను 443లో TCP ఉపయోగించమని కోరుతుంది, చాలా వెబ్-మాత్రమే మార్గాలు ఏమైనా పంపే ఏకైక రవాణా అదే. మొదటిది విజయవంతమై రెండవది ఇంకా విఫలమైతే, ప్రాక్సీ అడ్డంకి కాదు.

కొన్ని క్లయింట్లు ఓవర్‌రైడ్‌కు బదులు ఆపరేటింగ్ సిస్టమ్ ప్రాక్సీని చదువుతాయి, కొన్ని రెండింటినీ చదవవు. సిస్టమ్-వ్యాప్త సెట్టింగ్ వర్తిస్తుందని భావించే ముందు అప్లికేషన్ స్వంత డాక్యుమెంటేషన్ చూడండి. ప్రాక్సీ సేవ చేయని రిజాల్వర్ ద్వారా ఎండ్‌పాయింట్‌ను పరిష్కరించే క్లయింట్ కూడా ఇక్కడ విఫలమవుతుంది, అందుకే DNS మార్పు కేవలం మళ్లింపు అయినప్పుడు పరిష్కారంగా కనిపించవచ్చు.

దీన్ని చేస్తున్నప్పుడు స్టీరింగ్ నమూనాను కూడా గమనించండి. ఫిల్టర్ చేసిన నెట్‌వర్క్ విక్రేత గుర్తింపు హోస్ట్‌నేమ్‌కు తనదైన ఏదో సమాధానం ఇవ్వవచ్చు, ఇది క్లయింట్ ఏ ప్రాక్సీ ప్రొఫైల్‌ను ఎంచుకుంటుందో మారుస్తుంది. ఆ విచిత్రం చుట్టూ ప్రక్రియను నిర్మించవద్దు. అది సైట్‌ను బట్టి మారుతుంది, నోటీసు లేకుండా మారుతుంది, మరియు మీరు మరొకరికి మద్దతు ఇవ్వగలిగే విషయం కాదు.

పోర్ట్ 443 చేరుకోగలిగేది, అనుమతించబడినది కాదు

443లో టన్నెల్‌ను TLSలో చుట్టడం చేరుకోగల సామర్థ్యాన్ని పరిష్కరిస్తుంది, మరేదీ కాదు. పోర్ట్‌ను తనిఖీ చేసే ఫిల్టర్ దాన్ని దాటనిస్తుంది; హ్యాండ్‌షేక్ వేలిముద్రను తీసుకునే ఫిల్టర్ దాటనివ్వదు, మరియు ఎన్‌క్రిప్ట్ చేసిన క్లయింట్ సెల్యూట్ రెండు చివరలు మద్దతు ఇచ్చినప్పుడే సర్వర్ పేరును దాచుతుంది. పరీక్షను నడపండి మరియు ఆశపడటానికి బదులు మీరు ఏ రకమైన ఫిల్టర్ వెనుక ఉన్నారో తెలుసుకోండి.

ప్రజలు తర్వాత కనుగొనే పనితీరు ఖర్చు కూడా ఉంది. నమ్మదగిన రవాణా లోపల నమ్మదగిన రవాణా నష్టాన్ని పెంచుతుంది, ఎందుకంటే లోపలి స్టాక్ బయటి స్టాక్ ఇప్పటికే మళ్లీ పంపిన విభాగాలను మళ్లీ పంపుతుంది. శుభ్రమైన లింక్‌పై ఎవరూ గమనించరు. రద్దీగా ఉన్న క్యాంపస్ వైర్‌లెస్‌లో టన్నెల్ మీకు అవసరమైన క్షణంలోనే పనికిరానిదిగా మారుతుంది, ఉద్దేశపూర్వకంగా ఏమీ వదలకపోయినా గ్రాఫ్ ప్యాకెట్ నష్టంలా కనిపిస్తుంది.

UDP సాధారణంగా మొదటి బలి, ఊహించడం కాకుండా నిర్ధారించడం విలువైనది. TCP 443 పని చేస్తుండగా WireGuard లేదా డిఫాల్ట్ OpenVPN ఎప్పుడూ హ్యాండ్‌షేక్ పూర్తి చేయకపోతే, నెట్‌వర్క్ UDPను వదులుతోంది, కీల పునరుత్పత్తి దాన్ని మార్చదు:

sudo wg show
dig +short vpn.example.net
dig +short vpn.example.net @1.1.1.1

నిన్న పని చేసిన సహచరుడి పక్కన ఖాళీ హ్యాండ్‌షేక్ సమయ ముద్ర UDP సమాధానం. రెండు DNS ప్రశ్నలు మరో ప్రశ్నకు సమాధానం ఇస్తాయి: స్థానిక రిజాల్వర్ మరియు పబ్లిక్ రిజాల్వర్ ఎండ్‌పాయింట్ చిరునామాపై ఏకీభవించకపోతే, మీరు స్టీర్ చేయబడుతున్నారు మరియు రవాణా వాదం తప్పు.

మెషిన్ నుండి నిజంగా ఏం వెళ్ళిందో ధృవీకరించండి

క్లయింట్ లాగ్‌లు క్లయింట్ నమ్మేదాన్ని వివరిస్తాయి. క్యాప్చర్ నెట్‌వర్క్ చూసినదాన్ని వివరిస్తుంది, ఈ రెండింటి మధ్య వ్యత్యాసమే ఈ కేసుల్లో చాలావరకు పరిష్కారమయ్యే చోటు:

sudo tcpdump -ni any -c 20 'tcp port 443 and host 203.0.113.10'
sudo ss -tunp | grep -E ':(443|1194|51820)\b'

SYN ప్యాకెట్లు కనిపించి SYN-ACK లేకుంటే, బ్లాక్ పైవైపు ఉంది మరియు క్లయింట్ నిర్దోషి. సర్వర్‌ది కాని చిరునామాకు పూర్తయిన హ్యాండ్‌షేక్ కనిపిస్తే, మీరు ప్రాక్సీ లేదా అడ్డగించేవారితో మాట్లాడుతున్నారు. ఏమీ కనిపించకపోతే, ఏదైనా నిర్ణయానికి రాకముందు సరైన ఇంటర్‌ఫేస్‌లో క్యాప్చర్ చేశారో లేదో తనిఖీ చేయండి.

సాకెట్ జాబితా మరింత సూక్ష్మ కేసును పట్టుకుంటుంది: డిఫాల్ట్ మార్గాన్ని ఇప్పటికే పట్టి ఉన్న రెండవ టన్నెల్. రౌటింగ్ పట్టిక కోసం పోరాడే రెండు క్లయింట్లు బ్లాక్ చేయబడిన నెట్‌వర్క్‌లానే కనిపించే విరామ వైఫల్యాలను సృష్టిస్తాయి, మరియు క్యాప్చర్ మీరు ఊహించని ఇంటర్‌ఫేస్ ద్వారా బయటకు వెళ్లే ట్రాఫిక్‌ను చూపుతుంది.

వెనక్కి తీసుకోవడం, మరియు ఉంచుకోదగిన గమనిక

మార్పులను మీరు చేసిన క్రమానికి వ్యతిరేక క్రమంలో రద్దు చేయండి. ప్రాక్సీ వేరియబుల్స్ తొలగించండి, చేతితో ప్రారంభించిన క్లయింట్ ఆపండి, మరియు జోడించిన ఏ మార్గం లేదా రిజాల్వర్ ఓవర్‌రైడ్‌ను తొలగించండి:

unset https_proxy http_proxy
sudo systemctl stop openvpn-client@corp
sudo ip route show default

చేతితో ప్రారంభించిన క్లయింట్‌ను నడుస్తూ వదిలేయడం వల్లే ల్యాప్‌టాప్ తదుపరి కార్యాలయ సందర్శనలో పాడైన నెట్‌వర్క్‌తో మిగిలిపోతుంది. షెల్ ప్రొఫైల్‌లో వదిలిన ప్రాక్సీ వేరియబుల్స్ వారాల తర్వాత సంబంధం లేని సాధనాలను పాడు చేస్తాయి, వాటిని డీబగ్ చేసే వ్యక్తి రెండు సంఘటనలను కలపడు.

తర్వాత నాలుగు పంక్తులు రాయండి: నెట్‌వర్క్, సమయ ముద్ర, విఫలమైన దశ, మరియు మీరు చూసిన జారీచేసినవారు. ఒక క్యాంపస్‌లో పని చేసి తదుపరి దానిలో విఫలమయ్యే మార్గం సాధారణం, తదుపరి వ్యక్తి తేడా ప్రాక్సీ, రిజాల్వర్ లేదా ఫిల్టర్ అని తెలుసుకోవాలి. సమాధానం నెట్‌వర్క్ దూర ప్రాప్యతను నిషేధిస్తుంది అని ఉంటే, అక్కడే ఆపి నిర్వాహకుడిని మద్దతు ఉన్న మార్గం అడగండి, చదవని విధానంలో మళ్లింపును తీసుకెళ్లకండి.