OpenVPN #5: Live switchen van udp naar tcp en andersom

[Ben(V)]

Dat is mij allemaal duidelijk  @Ben(V)

Het gaat mij om b.v. de camping die evt. ook protocollen blokt.

Tja het is ook mogelijk om het VPN protocol te blokkeren en alleen http en https door te laten.
Zoals ik al zei VPN is geen HTTPS.

Het is met openVpn volgens mij ook mogelijk om VPN over HTTPS op te zetten, dan zal het niet meer te blokkeren zijn (tenzij ze ook https blokkeren).

[Pippin]

  tegelijk. Zie mijn vorige bericht.

[Briolet]

Het is wat mij betreft een leuke oplossing tenzij middels DPI VPN geblokt wordt natuurlijk.

Over DPI gesproken: de aangekondigde Synology router zal ook DPI opties geven volgens hun Duitse promo filmpje. Dat maakt de techniek wel toegankelijk voor een grotere groep. 

[Ben(V)]

Om het normale VPN protocol te blokken heb je helemaal geen DPI nodig.
Dat zou alleen nodig zijn als je VPN over https zou gebruiken.

Ben wel benieuwd naar die router, want je hebt nogal wat cpu power nodig wil je op volle snelheid DPI uitvoeren zonder afbreuk te doen aan de throughput performance.

De Cisco dozen die dat kunnen zijn onbetaalbaar duur.

[Pippin]

@Ben(V) Interessant 

OpenVPN gebruikt toch SSL/TLS en "pakt het in" waardoor het er net anders uit ziet?
Is het niet zo dat men packet inspection uitgevonden heeft om o.a. "ongewenst" verkeer te ontdekken/blokken?

Met een SSL/TLS tunnel, zoals stunnel, wordt OpenVPN weer ingepakt waardoor het door packet inspection als normaal HTTPS verkeer gezien wordt.

Interessant is ook: xor.patch, obfsproxy (een Tor project) of met een DNS tunnel waarbij die laatste wel heel erg traag is.

[Ben(V)]

Achtergrond info over detecting van OpenVpn.
https://www.anonyproz.com/supportsuite/index.php?_m=knowledgebase&_a=viewarticle&kbarticleid=174

Met wireshark kun je OpenVpn er zo uit pikken. zie:
https://wiki.wireshark.org/OpenVPN

[Pippin]

Die link stond inderdaad al onder mijn favorieten

[Pippin]

Over DPI gesproken: de aangekondigde Synology router zal ook DPI opties geven volgens hun Duitse promo filmpje. Dat maakt de techniek wel toegankelijk voor een grotere groep. 

Ik neem aan dat je daarmee bedoelt dat als men dat zou instellen de mogelijkheden om een beetje "anoniem" te surfen afnemen.

Vooralsnog ben ik blij dat ik hier woon, dat is niet Nederland overigens.

[Ben(V)]

Nee zo'n optie zou natuurlijk alleen beschikbaar zijn voor de eigenaar van die Synology router.
Het zal bedoelt zijn om te kijken of wat er binnenkomt wel bonafide is en geen hacker.

[Pippin]

Ja, daar zal het inderdaad voor bedoelt zijn.
Vind het wel interessant allemaal.

Zag dat je een link naar Wireshark had toegevoegd.
Het filter OpenVPN in Wireshark zal, volgens mij, out of the box, alleen een standaard installatie van OpenVPN kunnen ontdekken, echter niet live als ik het goed lees. Maar zeker leuk om eens mee te expirimenteren.

Het kan eruit gefilterd worden, als ik het goed begrijp, door de afwijkende handshake t.o.v. normaal SSL/TLS.
Je data blijft evengoed beschermt.

Als je b.v. volgens deze handleiding OpenVPN ingericht hebt, wordt het, denk ik, al een pak lastiger om het te vinden met Wireshark.

"size of the HMAC header in bytes: The default HMAC algorithm is SHA-1 which generates a 160 bit HMAC, therefore 20 bytes should be ok.

packet-id for replay protection includes optional time_t timestamp?: If the parameter --tls-auth is used, an additional packet-id for replay protection is inserted after the HMAC signature. This field can either be 4 bytes or 8 bytes including an optional time_t timestamp long. The default value is True"

De handleiding gebruikt SHA2 en er zal dan een handmatig filter ingesteld moeten worden om OpenVPN te ontdekken.
Je weet echter niet wat er gebruikt wordt en ben je dus wel even bezig met het instellen van verschillende filters voordat je het kunt ontdekken.

[Ben(V)]

Ja je kunt het vrij lastig maken om een vpn tunnel te herkennen, maar professionele aparatuur en software heeft niet zo veel moeite om het verschil tussen een ssl verbinding en een vpn tunnel te detecteren.

Grote bedrijven willen namelijk absoluut niet dat hun werknemenrs (of wie dan ook) VPN tunnels op gaan zetten en zo hun bedrijfsnetwerk aan een ander netwerk (of het open internet) koppelen.