Опубликован выпуск пакета для создания виртуальных частных сетей OpenVPN 2.6.13, позволяющего организовать шифрованное соединение между двумя клиентскими машинами или обеспечить работу централизованного VPN-сервера для одновременной работы нескольких клиентов.Подробнее: https://www.opennet.dev/opennews/art.shtml?num=62573
Вопрос не совсем по теме:OpenVPN с preshared ключами,.т.е. без аунтификации по паролю, детектится или нет? Предположем что сжатие отключено (оно и так по-умолчанию того) и используется нестандартный порт.
Детектится чем? Если ТСПУ, то ещё как детектится, по заголовку в TLS хендшейке.
А там того... нету TLS handshake'а. Обмена ключами - нет, согласования параметров шифрования - нет, нафиг тут TLS?
А на ТСПУ хук (уже) есть, да.
без пароля нет хендшейка?
дни жертв еге на опеннете?
> без пароля нет хендшейка?
> дни жертв еге на опеннете?Тут должны быть рассказы на тему "Что такое TLS" и "Что же делается при handshake'е?" с дополнительной ссылкой на доку по OpenVPN - но их не будет, ибо по пятницам - не подаю.
> А там того... нету TLS handshake'а. Обмена ключами - нет,
> согласования параметров шифрования - нет, нафиг тут TLS?Если у openvpn оторвать TLS хэндшейк, это будет - не openvpn уже. Он изначально сватался как "tls vpn". Если TLS VPN оборвать TLS - это как?
>> А там того... нету TLS handshake'а. Обмена ключами - нет,
>> согласования параметров шифрования - нет, нафиг тут TLS?
> Если у openvpn оторвать TLS хэндшейк, это будет - не openvpn уже.
> Он изначально сватался как "tls vpn". Если TLS VPN оборвать TLS
> - это как?А доку открыть да посмотреть - шариат не велит?
https://www.opennet.dev/opennews/art.shtml?num=55226
Одно время - помогало, потом - помогало переключение на tcp, потом - tls-crypt-v2 - сейчас скорее "нет". Сам протокол ни в одном месте не дизайнился с прицелом на недетектируемость.
> Одно время - помогало, потом - помогало переключение на tcp, потом -
> tls-crypt-v2 - сейчас скорее "нет". Сам протокол ни в одном месте
> не дизайнился с прицелом на недетектируемость.Не совсем понятно как детектится. Там же с первого пакета идет шифрованный "мусор".
Или нет?
>> Одно время - помогало, потом - помогало переключение на tcp, потом -
>> tls-crypt-v2 - сейчас скорее "нет". Сам протокол ни в одном месте
>> не дизайнился с прицелом на недетектируемость.
> Не совсем понятно как детектится. Там же с первого пакета идет шифрованный
> "мусор".
> Или нет?Читал, что там пинг пакет в канале управления очень уж характерный - но тут без гарантий, к настройке тспу отношения не имею - я с другой стороны сижу)
BPF в помощь (модификация полезной нагрузки)
Зачем BPF ? Таблица mangle в помощь.
Детектится даже вайршарком. Но есть патчи типа xorvpn
https://opennet.ru/61790-wireshark
обфускация с stunnel/obfs4 не поможет?
> OpenVPN с preshared ключами,.т.е. без аунтификации по паролю, детектится или нет?
> Предположем что сжатие отключено (оно и так по-умолчанию того) и
> используется нестандартный порт.На самом деле все проще. DPI не может рюхать все flow с полной скоростью канала. И как правило рюхает первые пакеты. Что делать по этому поводу дальше - догадайся сам, дабы сообщение не стерли за способы обхода и проч.
Поясните знатоки, openvpn на чистом tls с сертификатами у нас блокируется в обе стороны ?
Зависит от провайдера... Бывает, что дико режут скорость если соединяешься с заграницей.
> Реализована отправка клиентом параметра IV_PLAT_VER, содержащего информацию о релизе операционной системы, выдаваемую функцией uname(), что позволяет на серверах собирать статистику о версиях ОС, используемых клиентами.Это ещё зачем?
А это "ученый изнасиловал журналиста":
--push-peer-info который эт самое отправляет с незапамятных (2.4?) времен был, но раньше там вроде версию ядра посылали или еще что, а сейчас:
"on non-windows clients (MacOS, Linux, Unix) send "release" string from uname() call as IV_PLAT_VER to server - while highly OS specific this is still helpful to keep track of OS versions used on the client side (#637)"
Хехе, фикс просто кричит "зачем проверять входные данные!?"
- if (!read_string(buf, options, TLS_OPTIONS_LEN))
+ if (read_string(buf, options, TLS_OPTIONS_LEN) < 0)
Какой-то странный фикс, что read_string возвращает?
когда в конфигах клиента можно будет использовать прокси на локалхост?