Saan nakalagay ang TLS sa loob ng OpenVPN, at ano ang nagbabago sa hugis

OpenVPN ay talagang gumagamit ng TLS, at madalas itong pinapalawak ng mga tao sa isang pahayag na hindi nito kayang dalhin: na ang tunnel ay mukhang browser na bumibisita sa isang site. Totoo ang unang bahagi. Hindi ang pangalawa. Ang TLS dito ay kabilang sa control channel na naglalakbay sa loob ng sariling container ng OpenVPN, kasama ang payload channel na may ganap na ibang cryptography, kaya ang sinumang sumuri sa pambungad na bytes ay nakikita ang OpenVPN.

Dalawang usapan sa isang sobre

Isipin ang isang sesyon bilang dalawang usapan na nagbabahagi ng isang sobre. Ang isa ay nagpapatunay ng mga sertipiko at kumukuha ng key material. Ang isa ay nag-e-encrypt ng aktuwal mong ipinapadala, gamit ang nalikha ng una.

Ang sobre ang protocol. Bawat packet ay nagsisimula sa maliit na header na nagpangalan sa uri nito, at ang header na iyon ay dumarating bago ang anupamang iba.

Ano ang talagang unang dumarating

Dahil sa pagkakasunod-sunod na iyon, ang unang bagay sa wire ay hindi TLS record. Ito ang header ng OpenVPN, sinusundan ng nilalaman ng channel na inaanunsyo ng header. May ClientHello sa loob, hindi nga lang sa byte zero. Walang kailangang decryption para mapansin ang pagkakaiba, dahil ang hugis mismo ang nagbubunyag nito.

Mahalaga rin dito ang mga default. Ang daloy ay UDP patungong 1194 maliban kung pipiliin ng profile ang TCP. Sa dalawang kaso ang panlabas na anyo ay tunnel at hindi web request.

Tatlong tapat na paraan para baguhin ang hugis

Ang TLS terminator tulad ng stunnel ay tumatanggap ng TLS sa isang port sa bawat dulo at ibinibigay ang decrypted stream sa OpenVPN nang lokal, kaya nakikita ng network ang TLS patungo sa port na iyon. Ang protocol na TLS mula sa unang byte ay kumikilos nang iba: ang AnyConnect-compatible na palitan na ipinapatupad ng ocserv ay kahawig ng corporate remote access na inaasahan na ng maraming network. Ang SSTP, na kasama ng Windows, ay may parehong katangian sa ibang produkto.

Sa Linux, ang opsiyon na -w ng SSH ay nagdadala ng point-to-point link sa loob ng SSH session, na kapaki-pakinabang kapag SSH ang tanging pinapayagang protocol. Ito ang pinakamura sa apat kung gumagana na ang SSH mula sa network na iyon, at pinakamababa ang gamit kung hindi.

Ano ang hindi binabago ng alinman sa kanila

Wala sa mga ito ang nagbabago sa maaaring maabot ng tunnel. Hindi nila ginagawang maabot ang isang naka-block na address, hindi sila nagpapatunay ng sinuman, at hindi sila nagpapasya ng ruta.

Ang wrapper ay kumakain din ng isang component. Dalawang listener at dalawang configuration file ay nangangahulugang dalawang lugar ng pagkasira, at pareho silang mukhang magkapareho mula sa upuan ng gumagamit. Ibudget iyon bago magpatibay ng isa. Ang sesyon ay nananatiling isang mahabang buhay na naka-encrypt na daloy patungo sa isang destinasyon, at ang bulto at tiyempo nito ay nananatiling nakikita.

Magsuri muna, pagkatapos pumili

Kaya magsuri muna. Ang itinapong UDP ay sinasagot ng TCP mode, at ang nakilalang signature ay sinasagot ng ibang protocol o wrapper. Ang pagpili ng kasangkapan bago mo alam ang pagharang ay siyang paraan kung bakit nauuwi ang mga tao sa pagpapanatili ng tatlong layer na lahat ay nabibigo sa parehong dahilan.

Ang network na pinapayagan lamang ang web port ay nagpapakitid ng pagpili sa protocol na nakabatay sa TLS sa 443. Ang pagsasabay ng tatlo ay nagbibigay ng stack na walang sinumang makapag-debug, kaya baguhin ang isang bagay at muling subukan ang parehong daloy.

Kung wala sa mga ito ang naaangkop, ang tumpak na sagot ay hindi ito magdadala ng tunnel para sa iyo. Iyon ay isang natuklasan at hindi kabiguan ng pagsisikap. Ang pag-ikot sa mas maraming opsiyon ay hindi binabaligtad ang desisyong pampatakaran na ginawa sa itaas.

May isang hangganan sa harap ng lahat ng ito. Ang pahintulot na magpatakbo ng tunnel sa network ng iba ay usaping pampatakaran, pinagpapasyahan nang hiwalay sa kung gumagana ang mekanismo. Ipinapaliwanag ng mga katotohanang ito ang nakikita ng isang tagamasid, at hindi sila nagbibigay ng pahintulot.