TLS boshqaruv kanali ichida boradi, butun tunnel bo'ylab emas

VPN tavsifida TLS so'zini ko'rib, veb-proksi bu trafikni tushunadi deb xulosa qilish keng tarqalgan qisqa yo'l. Bu protokol ichida tomonlar o'z paketlarini almashadi va TLS o'sha almashuv ichidagi bitta kanalning qismi sifatida ishlaydi. Foydalanuvchi uchun muhim yuk boshqa xabar formatida boradi, shuning uchun ikkisi oddiy HTTPS seansi bilan hech qachon mos kelmaydi.

Avval konvert keladi

Har bir tunnel paketi protokolning o'z sarlavhasidan boshlanadi: xabar turi, kalit identifikatori va bayt oqimi transportida paket qayerda tugashini belgilovchi uzunlik prefiksi. Bu konvertni tahlil qilmaydigan o'quvchi keyingi maydon qayerdan boshlanishini bila olmaydi.

outer transport (UDP datagram or TCP stream)
  -> OpenVPN header (opcode, key id, length where needed)
    -> control message (reliability wrapper, TLS exchange)
    -> data message (protected inner packet)

Bu eskiz xarita, bayt jadvali emas, chunki aniq maydonlar xabar turiga bog'liq, garchi birinchi oktet har doim operatsiya kodini va kalit identifikatorini birga qadoqlaydi. Xabar turini port raqamidan taxmin qilish dekoderlar ko'rgan narsasini noto'g'ri nomlashiga olib keladi. Diagnostika uchun tartib muhim: transport, so'ngra protokol konverti, so'ngra ikki turdagi ishdan biri. Keyin nima kelishini baholashdan oldin konvertni o'qing. Noto'g'ri joydan boshlagan dekoder ishonchli bema'ni gap chiqaradi.

Ishonchlilik qatlami protokolga tegishli

Boshqaruv xabarlari tartibli va tasdiqlangan yetkazib berishni talab qiladi, protokol buni o'zi tasdiqlashlar va qayta yuborishlar bilan ta'minlaydi. Tasdiq o'z xabari sifatida kelishi yoki boshqa boshqaruv xabari bilan birga yurishi mumkin, bu esa bitta toza almashuvni kutayotganlar uchun izlarni tartibsiz ko'rsatadi.

Afzalligi shundaki, tashqi transport UDP bo'lsa ham TLS qo'l berib ko'rishish ishonchli tashuvchini oladi. Narxi shundaki, bitta datagram o'sha suhbatning faqat bir qismini o'z ichiga olishi mumkin, shuning uchun uni mustaqil TLS yozuvi sifatida ko'rib chiqish bema'ni gap tug'diradi. Qayta yig'ish protokol qatlamida sodir bo'lishi kerak. Shuning uchun qo'lga olingan paket to'liq qo'l berib ko'rishish qadamiga kamdan-kam o'xshaydi.

Tashqi transportni TCPga o'tkazish bu qatlamni olib tashlamaydi. Ishonchli transport protokol darajasida kamroq qayta yuborishni anglatadi, freymlash yo'qolishini yoki trafik HTTPga aylanishini emas.

Ma'lumot paketlari boshqa formatdan foydalanadi

Sessiya mavjud bo'lganda foydali yuk ichki IP paketlari yoki Ethernet freymlarini olib yuruvchi ma'lumot xabarlari sifatida keladi. Ular o'z kalitlari va o'z qayta ishlashlari bilan himoyalangan va TLS kutubxonasi qabul qiladigan hech qanday ma'noda TLS ilova yozuvlari emas.

Bu ajratish konfiguratsiyada ko'rinadi: boshqaruv kanali va ma'lumot kanali alohida shifr sozlamalariga ega, shuning uchun bittasini nomlovchi log satri ikkinchisi haqida hech narsa aytmaydi. Kuchli boshqaruv shifrini kuchli ma'lumot shifrining dalili sifatida o'qish keng tarqalgan hisobot xatosi.

Tegishli noto'g'ri tushunchani ham izohdan tashqarida tuting. TLS simmetrik ma'lumot kanali yonida o'tirgan ochiq kalit kanali emas, chunki kalitlar o'rnatilgach TLS o'z yozuvlarini simmetrik himoya qiladi. Haqiqiy farq rol va paket formatidir, har bir tomon qanday kriptografiya ishlatishi emas.

Nima uchun HTTPS proksi yordam bera olmaydi

TLSni tugatuvchi proksi TLS yozuvlari oqimini va so'ngra uning ichida ilova protokolini kutadi. Bu protokolning boshqaruv kanali o'z freymlash ichida, atrofida ishonchlilik qatlami bilan olib boriladi, shuning uchun tugatuvchi proksi bu freymlashni buzilgan kirish deb o'qiydi.

Baytlarni yoki datagramlarni talqin qilmasdan o'tkazuvchi shaffof yo'naltiruvchi ishlashi mumkin, agar u oqimni qayta yozmasa va qayta yig'masa. Har qanday vositachi haqida so'rash kerak bo'lgan savol — u haqiqiy transport va freymlashni o'tkazadimi, yo'qmi biror joyda TLSni qo'llab-quvvatlaydimi. Proksi qoidalariga oqshom sarflashdan oldin buni so'rang. Bu yerdagi muvaffaqiyatsizliklarning ko'pchiligi yetishmayotgan sozlama emas, me'moriydir.

Izdan to'g'ri o'qish

Avval boshqaruv almashuvi, so'ngra ancha ko'p miqdordagi ma'lumot xabarlari kelishini kuting, ikkisi bitta transportni baham ko'radi. Agar boshqaruv bosqichi tugab, ma'lumot bosqichi to'xtab qolsa, nuqson qo'l berib ko'rishishda emas, kalitlar, marshrutlash yoki ma'lumot yo'lini filtrlashda. Bir nechta ma'lumot xabarini qo'lga oling va ular mijozdan chiqadimi-yo'qmi tekshiring. O'sha bitta kuzatuv qidiruvni ikkiga bo'ladi.

Kalit usullarining tarixiy tavsiflari protokol hujjatlarida berilgan nashr hali ham har bir eski formatni qo'llab-quvvatlaydi degani emas. Ishlatayotgan versiyangizni tekshiring, so'ngra narsalar ilgari qanday ishlaganini tavsiflovchi paragrafga asoslanib kutishni qurmang.