TLS OpenVPN ichida qayerda turadi va shaklni nima o'zgartiradi

OpenVPN haqiqatan TLS ishlatadi va odamlar buni ko'tara olmaydigan da'voga cho'zadilar: tunnel shu sababli saytga kiruvchi brauzerga o'xshaydi degan fikrga. Birinchi qism to'g'ri. Ikkinchisi emas. Bu yerdagi TLS OpenVPNning o'z konteyneri ichida yuradigan boshqaruv kanaliga tegishli, yonida butunlay boshqa kriptografiyaga ega foydali yuk kanali bor, shuning uchun ochilish baytlarini tekshirgan kishi OpenVPNni ko'radi.

Bitta konvertda ikki suhbat

Sessiyani bitta konvertni bo'lishadigan ikki suhbat deb tasavvur qiling. Biri sertifikatlarni tekshiradi va kalit materialini oladi. Ikkinchisi siz haqiqatan yuborayotgan narsani birinchisi yaratgan narsa bilan shifrlaydi.

Konvert — bu protokol. Har bir paket o'z turini aytadigan kichik sarlavha bilan boshlanadi va u sarlavha hamma narsadan oldin keladi.

Haqiqatan birinchi nima keladi

Shu tartib tufayli simdagi birinchi narsa TLS yozuvi emas. Bu OpenVPN sarlavhasi, undan keyin sarlavha e'lon qilgan kanal mazmuni keladi. U yerda ClientHello bor, faqat nolinchi baytda emas. Farqni payqash uchun hech qanday shifr ochish kerak emas, chunki shaklning o'zi buni oshkor qiladi.

Standart qiymatlar bu yerda ham muhim. Profil TCP tanlamasa, oqim UDP orqali 1194 ga ketadi. Ikkala holatda ham tashqi ko'rinish tunnel, veb so'rov emas.

Shaklni o'zgartirishning uchta halol yo'li

stunnel kabi TLS terminatori har ikki uchida bir portda TLS qabul qiladi va shifri ochilgan oqimni mahalliy ravishda OpenVPNga beradi, shuning uchun tarmoq o'sha portga TLS ko'radi. Birinchi baytdan TLS bo'lgan protokol boshqacha ishlaydi: ocserv amalga oshiradigan AnyConnect-mos almashinuv ko'p tarmoqlar allaqachon kutayotgan korporativ masofaviy kirishga o'xshaydi. Windows bilan keladigan SSTP boshqa mahsulotda xuddi shu xususiyatga ega.

Linuxda SSHning -w opsiyasi SSH sessiyasi ichida nuqtadan nuqtaga aloqa olib yuradi, bu SSH yagona ruxsat etilgan protokol bo'lganda foydali. Agar SSH o'sha tarmoqdan allaqachon ishlasa, to'rttadan eng arzoni, ishlamasa eng kam foydalisi.

Ularning hech biri nimani o'zgartirmaydi

Ularning hech biri tunnel qayerga yeta olishini o'zgartirmaydi. Ular bloklangan manzilni yetib boriladigan qilmaydi, hech kimni autentifikatsiya qilmaydi va marshrutlarni hal qilmaydi.

O'ram sizga bitta komponentni ham qimmatga tushiradi. Ikki tinglovchi va ikki konfiguratsiya fayli nosozlikning ikki joyini bildiradi va ikkisi ham foydalanuvchi o'rindig'idan bir xil ko'rinadi. Bittasini qabul qilishdan oldin buni byudjetga qo'shing. Sessiya bitta manzilga bitta uzoq muddatli shifrlangan oqim bo'lib qoladi va uning hajmi va vaqti ko'rinib turadi.

Avval tashxis, keyin tanlov

Shuning uchun avval tashxis qo'ying. Tashlab yuborilgan UDPga TCP rejimi javob beradi, tanilgan imzoga esa boshqa protokol yoki o'ram javob beradi. Blokni bilmasdan asbob tanlash — odamlarning oxir-oqibat barchasi bir sababdan ishlamaydigan uch qatlamni saqlab qolishining yo'li.

Faqat veb portlarga ruxsat beradigan tarmoq tanlovni 443 dagi TLS asosidagi protokolgacha toraytiradi. Uchtasini bir vaqtda qo'llash hech kim tuzata olmaydigan to'plam beradi, shuning uchun bitta narsani o'zgartiring va o'sha oqimni qayta sinab ko'ring.

Agar hech biri tegishli bo'lmasa, aniq javob — bu tarmoq siz uchun tunnel olib o'tmaydi. Bu harakatning muvaffaqiyatsizligi emas, topilma. Ko'proq variantlarni aylanib o'tish yuqorida qabul qilingan siyosat qarorini bekor qilmaydi.

Bularning barchasi oldida bitta chegara turadi. Boshqa birovning tarmog'ida tunnel yuritishga ruxsat — siyosat masalasi bo'lib, mexanizm ishlaydimi-yo'qmi deganidan alohida hal qilinadi. Bu faktlar kuzatuvchi nimani ko'rishini tushuntiradi va ular ruxsat bermaydi.