OpenVPN àti HTTPS lórí pọ́ọ̀tì 443: tani ó ni olùgbọ́?

Iṣẹ́ méjì lè dáhùn lórí pọ́ọ̀tì 443 pẹ̀lú láìdíje rárá, nítorí pé a fi ìgbékalẹ̀, àdírẹ́sì àti pọ́ọ̀tì papọ̀ yàn olùgbọ́, kì í ṣe nípasẹ̀ nọ́mbà nìkan. Fi ẹ̀rọ ayélujára kan àti OpenVPN sórí ẹ̀rọ kan, ìbéèrè kan ṣoṣo tó yẹ kí a dáhùn kọ́ ni sọ́kẹ́tì wo ni gbogbo ìlànà béèrè lọ́wọ́ kọ́nútù. Kọ àkójọ yẹn sílẹ̀ kí o tó ṣàtúnṣe ìṣètò, àwọn àṣìṣe «àdírẹ́sì ti ń lò tẹ́lẹ̀» púpọ̀ yóò fi ara wọn ṣàlàyé. Ohun gbogbo tó tẹ̀lé àkójọ ni yíyan láàrin olùgbọ́ UDP, sọ́kẹ́tì TCP tí a pín, tàbí ẹ̀yà iwájú tó ń darí nípa ìlànà.

Bẹ̀rẹ̀ pẹ̀lú sọ́kẹ́tì tí gbogbo ìlànà béèrè

bind máa ń ṣàṣeyọrí tàbí kùnà lórí ẹ̀kún mẹ́ta yẹn, nítorí náà àwọn daemon méjì kì í kọlù ara wọn àyàfi tí gbogbo ẹ̀yà mẹ́ta bá bára wọn mu. Ìdí nìyẹn tí ojú ayélujára kan lórí TCP 443 fi ń gbé pẹ̀lú olùgbọ́ OpenVPN lórí UDP 443 láìní ààlà, àti ìdí tí gbígbé ọ̀kan nínú wọn lọ sí àdírẹ́sì ìbílẹ̀ kejì lórí ẹ̀rọ kan náà yóò fi parí àríyànjiyàn náà pẹ̀lú. Ka àwọn olùgbọ́ alààyè, kì í ṣe àwọn fáìlì tó yẹ kí wọ́n ti dá wọn, nítorí pé include àtijọ́ tàbí fáìlì unit tí a gbàgbé ń gbé pẹ́ ju àtúnṣe tí o rántí pé o ṣe lọ.

Ṣiṣẹ́ ss -lntup gẹ́gẹ́ bí root kí o sì ka gbogbo ìlà tó mẹ́nu kan 443, pẹ̀lú àwọn àkọsílẹ̀ IPv6. Nígbà gbogbo olùgbọ́ v6 wildcard máa ń gba ìrìnàjò v4 pẹ̀lú, àti bẹ́ẹ̀ ni olùgbọ́ tí o gbàgbé fi ń gbá pọ́ọ̀tì náà lẹ́yìn tí o ti yí fáìlì tí o rò pé ó jẹ́ aláṣẹ padà. Bí orúkọ ìlànà bá yà ọ́ lẹ́nu, dín ìjáde kù pẹ̀lú ss -lntup 'sport = :443' kí o tó fi ọwọ́ kan ohunkóhun.

Yí ọ̀nà àbẹ̀wò padà sí UDP nígbà tí nẹ́tíwọ́kì bá gbà

Olùgbọ́ UDP yẹra fún ìkọlù pátápátá, ó sì sábà jẹ́ àtúnṣe tó kúrú jù, nítorí pé a kì í pín sọ́kẹ́tì kankan, kò sì sí ọjà àfikún tó wọ ọ̀nà náà. Ṣùgbọ́n kì í ṣe ọ̀fẹ́. Àwọn nẹ́tíwọ́kì oníbàárà kan ń sọ UDP 443 nù láìfi reset ránṣẹ́, nítorí náà ọ̀nà àbẹ̀wò á dá ìdásílẹ̀ dúró dípò kí ó kùnà ní bind, oníbàárà á sì jábọ́ pé VPN ti dá dúró láìsí àṣìṣe láti kà. Olùgbọ́ UDP tún yege ìmúpadàbọ̀sípò ìpele ayélujára, èyí tó ṣe pàtàkì lórí ẹ̀rọ tí a máa ń tún ojú ayélujára rẹ̀ gbé jáde lọ́pọ̀ ìgbà. Dán wò láti nẹ́tíwọ́kì tí àwọn olùlò wà, nítorí pé shell lórí sáfíà máa ń fi hàn pé sáfíà lè dé ọ̀dọ̀ ara rẹ̀ nìkan.

Yí ìgbékalẹ̀ padà nínú ìṣètò sáfíà àti nínú prófáìlì oníbàárà papọ̀. Prófáìlì tó ṣì ń béèrè TCP yóò máa yí ká nínú àwọn ìyípadà ìsopọ̀ mìíràn sí olùgbọ́ UDP nìkan, yóò sì dà bí àìdá nẹ́tíwọ́kì títí tí ìwọ yóò fi fi àwọn fáìlì méjèèjì wé ara wọn.

Jẹ́ kí ìlànà VPN ní TCP 443, kí o sì gbé ìyókù lọ

Community OpenVPN nínú ipò sáfíà TCP ń ka àwọn báìtì àkọ́kọ́ ti ìsopọ̀ tó ń wọlé, ó sì ń gbé ohunkóhun tí kì í ṣe ìlànà tirẹ̀ lọ sí backend HTTPS, ìtọ́nisọ́nà port-share wà fún ìyẹn. Backend jẹ́ sáfíà ayélujára lasan pẹ̀lú TLS tí ó ṣí, a sì ń pè é pẹ̀lú host àti pọ́ọ̀tì nínú ìtọ́nisọ́nà yẹn, kì í ṣe pẹ̀lú URL.

port-share 10.0.0.5 8080

Lórí ẹ̀rọ tí ojú ayélujára ní àdírẹ́sì àdáni kejì, ìlà yẹn ń fi ìrìnàjò tí kì í ṣe VPN lọ sí 10.0.0.5:8080, nítorí náà gbọ̀dọ̀ kí a so host virtual HTTPS níbẹ̀, kí odi iná sì gbà fún ìfò sísẹ́ ìbílẹ̀. Sáfíà ayélujára gbọ́dọ̀ parí TLS fúnra rẹ̀, nítorí pé àwọn báìtì tó ń dé ni ìfọwọ́sowọ́pọ̀ ìpilẹ̀ ti aṣàwákiri, kò sì sí ohunkóhun ní àárín tó ti ṣí wọn. Darí ìtọ́nisọ́nà sí olùgbọ́ HTTP lasan, aṣàwákiri yóò sì rí àṣìṣe ọ̀nà tí kò tọ́, èyí tí a kà bí ojú ayélujára tó ti já, kì í ṣe bí backend tí a gbé sí ibi tí kò tọ́. Ìtọ́nisọ́nà wà nínú ipò sáfíà TCP nìkan, olùgbọ́ UDP kò sì ní ìṣàn láti yẹ̀wò.

Nítorí pé ìlànà VPN ń gba gbogbo ìsopọ̀, apùtà ayélujára rí i pé ìbéèrè tí a gbé lọ ń bọ̀ láti ọ̀kan nínú àwọn àdírẹ́sì ẹ̀rọ náà fúnra rẹ̀, kì í ṣe láti ọ̀dọ̀ àbẹ̀wò. Ohunkóhun tó nílò àdírẹ́sì oníbàárà gidi sinmi lórí àtìlẹ́yìn ìlànà PROXY nínú backend tàbí lórí ẹ̀yà iwájú tó ń fi í kún. Gbígbé backend lọ sí àdírẹ́sì ìbílẹ̀ mìíràn kò mú àdírẹ́sì àbẹ̀wò padà; ó kàn ń yí àdírẹ́sì ẹ̀rọ wo ni ojú ayélujára ń gbà sílẹ̀. Kọ àdíwọ́n yẹn sínú àwọn àkọsílẹ̀ ìgbékalẹ̀ kí ìròyìn ìtúpalẹ̀ tó gbé ìbéèrè náà dìde.

Proxy yíyí padà jẹ́ irinṣẹ́ tí kò tọ́; olùdarí ìpele mẹ́rin kì í ṣe bẹ́ẹ̀

Proxy yíyí padà HTTP ń parí TLS kí ó lè ka àwọn ìbéèrè, èyí túmọ̀ sí pé kò lè jẹ́ kí ìṣàn OpenVPN kọjá láìfọwọ́ kàn. Olùdarí ìpele mẹ́rin tó ń gbé lọ nípasẹ̀ SNI tàbí àyẹ̀wò pákẹ́tì àkọ́kọ́ lè dúró níwájú àwọn méjèèjì, níwọ̀n bí kò bá parí ìpàdé tí VPN sinmi lórí. Àwọn ẹ̀rọ méjèèjì dà bí ara wọn nínú àwòrán, wọ́n sì ń hùwà yàtọ̀ pátápátá ní sọ́kẹ́tì.

Access Server oníṣòwò ń wá pẹ̀lú àwọn ìṣètò pípín pọ́ọ̀tì tirẹ̀, wọn kò sì bára ìtọ́nisọ́nà àwùjọ mu ọ̀kan-ọ̀kan. Dámọ̀ ọjà àti ẹ̀dà kí o tó ṣàtúnṣe ìtọ́sọ́nà tí a kọ fún èkejì. Ìṣètò tí a dà kọ́ tí a sì gbà kù láìsí ìró burú ju kíkò ìṣètò lọ, nítorí pé àkójọ olùgbọ́ ṣì dà bí ẹni tí ó gbéṣẹ́ lẹ́yìn náà.

Dán ojú ayélujára àti ọ̀nà àbẹ̀wò wò gẹ́gẹ́ bí ọ̀nà méjì ọ̀tọ̀ọ̀tọ̀

Gbé ojú ayélujára wọlé kí o sì so ọ̀nà àbẹ̀wò pọ̀, lẹ́yìn náà ka àkójọ olùgbọ́ lẹ́ẹ̀kan sí i láti rí ìlànà wo ló ni 443 báyìí. Ojú-ìwé tó ń gbé wọlé kò fi ohunkóhun hàn nípa VPN, ọ̀nà àbẹ̀wò tó so pọ̀ kò sì fi ohunkóhun hàn nípa ojú ayélujára, bí àwọn méjèèjì tilẹ̀ ń lo nọ́mbà kan náà. Àwọn àṣẹ mẹ́ta tó wà nísàlẹ̀ ń yẹ̀wò sọ́kẹ́tì tí a pín, ọ̀nà ayélujára àti iṣẹ́ VPN ní ọ̀nà yẹn.

ss -lntup 'sport = :443'
curl -sI https://vpn.example.com/ | head -n 1
journalctl -u openvpn-server@server -n 20

Fi àdírẹ́sì oníbàárà nínú àkọsílẹ̀ àwọlé backend wé ti àkọsílẹ̀ VPN fún àkókò kan náà. Bí ojú ayélujára bá ń gbà gbogbo àbẹ̀wò sílẹ̀ gẹ́gẹ́ bí ẹ̀rọ náà fúnra rẹ̀, gbígbé lọ ń ṣiṣẹ́ ṣùgbọ́n ìtọ́jú àdírẹ́sì kò ṣiṣẹ́. Bí àwọn àkọsílẹ̀ méjèèjì bá dákẹ́, ẹ̀yà iwájú kò fi ìsopọ̀ náà lélẹ̀ rí. Bó ti wù kó rí, àkójọ olùgbọ́ ni ó pinnu ẹni tó gba sọ́kẹ́tì, ìyẹn sì ni òtítọ́ tí a gbọ́dọ̀ fìdí rẹ̀ múlẹ̀ kí o tó yí fáìlì mìíràn padà.

Fi àwòrán olùgbọ́ yẹn sí ẹ̀gbẹ́ ìṣètò kí ẹni tó kàn yóò fi ọwọ́ kan 443 lẹ́yìn náà lè mọ ìlànà wo ló ń gbà àti ibi tí ìlànà kejì lọ. Fìdí ìní múlẹ̀ lẹ́yìn ìyípadà dípò gbígbẹ́kẹ̀lé ohun tí àtúnṣe náà ń gbèrò láti ṣe.