HTTP proksi orqali OpenVPN: avval CONNECT javobini o‘qing
CONNECT proksisi baytlarni uzatadi, shuning uchun ikkala tomon ham TCP talab qiladi. Sertifikatlarni ayblashdan oldin 407, 403 va 503 ni o‘qing va server tekshiruvini yoqilgan holda qoldiring.
VPN mijozini korporativ HTTP proksisiga yo‘naltiring, va birinchi foydali fakt — proksi VPN protokolida gaplashmaydi. U siz ko‘rsatgan manzilga oddiy TCP ulanish ochadi va keyin chetga chiqadi, mijozingiz va server o‘z almashinuvini shu oqim orqali amalga oshiradi. Mijozga kerak bo‘lgan hamma narsa, transport turidan serverning tinglovchisigacha, bu tartibga mos kelishi kerak. Muvaffaqiyatsizliklarning ko‘pini ikkita nomuvofiqlik tushuntiradi: CONNECT proksisiga qaratilgan UDP profili va VPN xatosi deb qabul qilingan proksi javobi.
Proksi nima tashiydi va nima tashimaydi
Proksi — bu faqat transport bosqichi. U sizning brauzer proksisingizga aylanmaydi, tunnel orqali kirgan saytlarni keshlmaydi va kimdir ataylab tekshiruvni sozlamasa, ichki trafikni ko‘rmaydi. U ochadigan tunnel dizayn bo‘yicha u uchun shaffof emas.
Bu shuni ham bildiradiki, proksi mos tinglovchisi bo‘lmagan serverni tuzata olmaydi. Manzilga yetish ruxsati va o‘sha manzilda tinglayotgan xizmat — ikki alohida fakt, va faqat birinchisi proksi administratoriga tegishli.
Tashuvchi ikkala uchida ham TCP bo‘lishi kerak
Oddiy CONNECT proksisi faqat bayt oqimini uzatadi , shuning uchun mijoz oqim transportidan foydalanishi kerak. Bu holat uchun mijoz fragmenti shunday ko‘rinadi:
proto tcp-client
remote vpn.example.net 1194
http-proxy proxy.corp.example 3128Server tomoniga remote satrida ko‘rsatilgan portda haqiqiy TCP tinglovchisi kerak. Profilda proto udp ni proto tcp-client ga almashtirish oqimni kutadigan mijoz yaratadi; u qarshi tomonda oqim yaratmaydi. Agar o‘sha server o‘sha portda UDP orqali ham javob bersa, bu boshqa tinglovchi, o‘sha tinglovchining ikkinchi rejimi emas.
Alohida TCP nusxasi mavjud bo‘lgan joyda uning tunnel qurilmasi, manzillar hovuzi va marshrutlash o‘z resurslaridir. Ishlaydigan konfiguratsiyani ko‘chirib, transport so‘zini o‘zgartirish bu resurslarni asl nusxaga qaratilgan holda qoldiradi, natijada autentifikatsiyadan o‘tadigan, keyin hech narsani marshrutlamaydigan ulanish paydo bo‘ladi.
VPN natijasidan oldin proksi javobini o‘qing
Mijozning birinchi almashinuvi — manzil xosti va portini nomlaydigan so‘rov satri. O‘sha satrga javob bayt oqimi umuman bor-yo‘qligini aytadi va har qanday sertifikat yoki hisob ma’lumotlari tekshirilishidan oldin keladi:
CONNECT vpn.example.net:1194 HTTP/1.1
Host: vpn.example.net:1194| Proxy reply | What it means | Where to look next |
|---|---|---|
407 Proxy Authentication Required | The proxy wants its own credentials | The client's proxy auth options, not the VPN account |
403 Forbidden | The destination or method is not permitted | The proxy's access policy for that host and port |
503 Service Unavailable | The proxy could not complete the upstream connection | The proxy's own logs and the server's listener |
CONNECT ga 200 sinfidagi javob oqim borligini bildiradi. U shlyuz sertifikatining ishonchliligi, umumiy kalitning mos kelishi yoki foydalanuvchi hisobining haqiqiyligi haqida hech narsa aytmaydi. Bu tekshiruvlar keyinroq, oqim ichida bo‘ladi va ular HTTP holat satri bilan emas, mijozning o‘z xabarlari bilan muvaffaqiyatsiz tugaydi. Mijoz jurnalida proksi qo‘l berishidan keyingi birinchi OpenVPN hodisani qidiring, oyna yopilishidan oldingi oxirgi satrni emas.
Proksi hisob ma’lumotlari va VPN hisob ma’lumotlari ko‘pincha turli jamoalardagi turli shaxsiyatlardir. 407 — VPN hisobining noto‘g‘ri paroli emas, rad etilgan sertifikat esa proksi ruxsati muammosi emas.
CONNECT nimani oshkor qilmaydi
Aniq CONNECT tunneli — bu tinglash emas. Proksi baytlarni uzatadi va VPN ning TLS sessiyasini tugatmaydi, shuning uchun mijozning server sertifikatini tekshirishi mazmunli bo‘lib qoladi va yoqilgan turishi kerak. Proksidan o‘tish uchun tekshiruvni o‘chirish sizning muammoingizdan boshqa muammoni hal qiladi.
Tashkilot TLS ni ataylab tugatadigan va tekshiradigan alohida tartiblar ham bor. Ular o‘z ishonch konfiguratsiyasini va o‘z siyosat qarorini talab qiladi va ular oddiy http-proxy satri so‘raydigan narsa emas.
TCP ichidagi TCP narxi
Tunnelni TCP orqali tashish tashqi oqimni tartibli va qayta uzatiladigan holatda saqlaydi, ichki trafik ham odatda TCP. Ikki tiklash mexanizmi muvofiqlashtirmaydi, shuning uchun bitta yo‘qolgan segment o‘sha tashqi oqimni bo‘lishadigan hamma narsani qayta uzatilgunga qadar to‘xtatishi mumkin. Bu moslik uchun haqiqiy almashinuv, bepul yangilanish emas.
Tarmoq boshqa yo‘l qoldirmasa proksi yo‘lidan foydalaning va siyosat ruxsat bergan joyda to‘g‘ridan-to‘g‘ri UDP yo‘lini afzal ko‘ring. Qanday bo‘lmasin, o‘zgarishdan keyin o‘sha proksi, manzil va profil keyingi bosqichga yetishini tasdiqlang; o‘sha manzilda sahifa yuklaydigan brauzer boshqa protokoldan foydalanadi va tunnel haqida hech narsani isbotlamaydi.