TLS 1.3 मा आधारित डोमेन फ्रन्टिङ। भाग 2

परिचय

पहिलो भाग मा लेख हामीले एन्क्रिप्टेड SNI (eSNI) संयन्त्रको संक्षिप्त विवरण दिएका छौं। तिनीहरूले देखाए कि, यसको आधारमा, आधुनिक DPI प्रणालीहरू (Beline DPI र प्रतिबन्धित RKN रूट ट्र्याकरको उदाहरण प्रयोग गरेर) द्वारा पत्ता लगाउनबाट बच्न कसरी सम्भव छ, र यस मेकानिज्ममा आधारित डोमेन फ्रन्टिङको नयाँ संस्करण पनि अन्वेषण गरे।

लेखको दोस्रो भागमा, हामी थप व्यावहारिक चीजहरूमा जान्छौं जुन RedTeam विशेषज्ञहरूलाई तिनीहरूको कठिन काममा उपयोगी हुनेछ। अन्तमा, हाम्रो लक्ष्य अवरुद्ध स्रोतहरूमा पहुँच प्राप्त गर्नु होइन (यस्ता तुच्छ चीजहरूको लागि हामीसँग राम्रो पुरानो VPN छ)। सौभाग्यवश, त्यहाँ VPN प्रदायकहरूको एक ठूलो विविधता छ, तिनीहरू भन्छन्, हरेक स्वाद, रंग र बजेटको लागि।

हामी आधुनिक RedTeam उपकरणहरूमा डोमेन-फ्रन्टिङ मेकानिजम लागू गर्ने प्रयास गर्नेछौं, उदाहरणका लागि, कोबाल्ट स्ट्राइक, एम्पायर, इत्यादि, र तिनीहरूलाई आधुनिक सामग्री फिल्टरिङ प्रणालीहरूको नक्कल गर्न र बेवास्ता गर्न थप क्षमताहरू दिनेछौं।

पछिल्लो पटक हामीले OpenSSL लाइब्रेरीमा eSNI मेकानिजम लागू गर्यौं र यसलाई परिचित कर्ल उपयोगितामा सफलतापूर्वक प्रयोग गर्‍यौं। तर, तिनीहरू भन्छन्, तपाईं केवल एउटा कुखुरासँग सन्तुष्ट हुनुहुन्न। निस्सन्देह, म उच्च-स्तर भाषाहरूमा यस्तै केहि कार्यान्वयन गर्न चाहन्छु। तर, दुर्भाग्यवश, इन्टरनेटमा द्रुत खोजले हामीलाई निराश बनाउँछ, किनभने eSNI संयन्त्रको लागि समर्थन पूर्ण रूपमा GOLANG मा मात्र लागू गरिएको छ। यसैले, हामीसँग धेरै विकल्प छैन: या त हामी प्याच गरिएको OpenSSL लाइब्रेरी प्रयोग गरेर शुद्ध C वा C++ मा लेख्छौं, वा हामी CloudFlare बाट छुट्टै GOLANG फोर्क प्रयोग गर्छौं र त्यहाँ हाम्रा उपकरणहरू पोर्ट गर्ने प्रयास गर्छौं। सिद्धान्तमा, त्यहाँ अर्को विकल्प छ, अधिक क्लासिक, तर एकै समयमा समय-उपभोग - पाइथनको लागि eSNI समर्थन लागू गर्न। आखिर, पाइथनले पनि https ह्यान्डल गर्न OpenSSL प्रयोग गर्दछ। तर हामी यो विकल्प अरू कसैको विकासको लागि छोड्नेछौं, र हामी आफैं Golang मा कार्यान्वयनमा सन्तुष्ट हुनेछौं, विशेष गरी हाम्रो प्यारो कोबाल्ट स्ट्राइक तेस्रो-पक्ष उपकरणहरू (बाह्य C2 च्यानल) द्वारा निर्मित सञ्चार च्यानलसँग पूर्ण रूपमा काम गर्न सक्षम छ। - हामी लेखको अन्त्यमा यस बारे कुरा गर्नेछौं।

अझ कडा प्रयास गर्नुहोस्...

Go मा लागू गरिएका उपकरणहरू मध्ये एउटा नेटवर्कमा पिभोट गर्ने हाम्रो विकास हो - एउटा टनेलर rsockstun, जुन, वैसे, अब Microsoft र Symantec बाट उपकरणहरू द्वारा पत्ता लगाइएको छ धेरै दुर्भावनापूर्ण सफ्टवेयरको रूपमा विश्वव्यापी स्थिरतामा बाधा पुर्‍याउने उद्देश्यले ...

यो मामला मा पनि अघिल्लो विकास प्रयोग गर्न राम्रो हुनेछ। तर यहाँ एउटा सानो समस्या छ। तथ्य यो हो कि सुरुमा rsockstun ले सर्भरसँग सिंक्रोनस SSL संचार च्यानलको प्रयोगलाई संकेत गर्दछ। यसको मतलब यो जडान एक पटक स्थापित हुन्छ र सुरुङको सञ्चालनको सम्पूर्ण अवधिको लागि अवस्थित हुन्छ। र, तपाईंले बुझ्नुभएको रूपमा, https प्रोटोकल सञ्चालनको यस मोडको लागि उद्देश्य होइन - यसले अनुरोध-प्रतिक्रिया मोडमा काम गर्दछ, जहाँ प्रत्येक नयाँ http अनुरोध नयाँ tcp जडान भित्र अवस्थित हुन्छ।

यस योजनाको मुख्य हानि यो हो कि सर्भरले ग्राहकलाई डाटा स्थानान्तरण गर्न सक्दैन जबसम्म ग्राहकले नयाँ http अनुरोध पठाउँदैन। तर, सौभाग्य देखि, यो समस्या समाधान गर्न को लागी धेरै विकल्पहरु छन् - HTTP प्रोटोकल मार्फत डेटा स्ट्रिमिङ (सबै पछि, हामी कुनै न कुनै रूपमा हाम्रो मनपर्ने टिभी कार्यक्रमहरू हेर्न र https मा चलिरहेको पोर्टलबाट संगीत सुन्न व्यवस्थित गर्छौं, तर भिडियो र अडियो प्रसारण अरू केहि होइन। स्ट्रिमिङ डाटा भन्दा)। HTTP प्रोटोकलमा पूर्ण TCP जडानको सञ्चालनको अनुकरण गर्ने प्रविधिहरू मध्ये एक हो WebSockets टेक्नोलोजी, जसको मुख्य सार भनेको ग्राहक र वेब सर्भर बीचको पूर्ण नेटवर्क जडानलाई व्यवस्थित गर्नु हो।

सौभाग्यवश हाम्रो लागि (हुर्रे!!!), यो प्रविधि पूर्वनिर्धारित रूपमा सबै CloudFlare ट्यारिफ योजनाहरूमा समावेश गरिएको छ र eSNI सँग संयोजनमा उत्कृष्ट काम गर्दछ। यो ठ्याक्कै यही हो जुन हामीले हाम्रो टनेलरलाई डोमेन-फ्रन्टिङ प्रयोग गर्न र आधुनिक DPIs बाट लुकाउन सिकाउने छौं।

WebSockets को बारेमा थोरै

सबै भन्दा पहिले, हामी छोटकरीमा र सरल शब्दहरूमा वेबसकेटहरूको बारेमा कुरा गर्नेछौं ताकि सबैलाई हामी केसँग काम गर्नेछौं भन्ने कुराको कल्पना छ।

Websocket टेक्नोलोजीले तपाइँलाई अस्थायी रूपमा HTTP जडानबाट मानक नेटवर्क सकेट स्ट्रिमिङमा स्थापित TCP जडान तोडे बिना स्विच गर्न अनुमति दिन्छ। जब ग्राहकले वेबसकेटमा स्विच गर्न चाहन्छ, यसले यसको http अनुरोधमा धेरै http हेडरहरू सेट गर्दछ। दुई आवश्यक हेडर - जडान: अपग्रेड गर्नुहोस् и अपग्रेड गर्नुहोस्: वेबसकेट। उसले बलपूर्वक वेबसकेट प्रोटोकल संस्करण निर्दिष्ट गर्न सक्छ (सेकेन्ड-वेबसकसेट-संस्करण: 13) र केहि बेस64 वेबसकेट पहिचानकर्ता जस्तै (सेक-वेबसकेट-कुञ्जी: DAGDJSiREI3+KjDfwxm1FA==)। सर्भरले उसलाई HTTP कोड 101 स्विचिंग प्रोटोकलको साथ जवाफ दिन्छ र हेडरहरू पनि सेट गर्दछ। जडान, अपग्रेड и सेक-वेबसकेट-स्वीकार गर्नुहोस्। तलको स्क्रिनसटमा स्विच गर्ने प्रक्रिया स्पष्ट रूपमा देखाइएको छ:

यस पछि, WebSocket जडानको स्थापना पूर्ण मान्न सकिन्छ। क्लाइन्ट र सर्भर दुबैबाट कुनै पनि डाटा अब http मार्फत नभई WebSocket हेडरहरूसँग आपूर्ति गरिनेछ (तिनीहरू बाइट 0x82 बाट सुरु हुन्छन्)। अब सर्भरले ग्राहकबाट डाटा स्थानान्तरण गर्न अनुरोधको लागि पर्खनु पर्दैन, किनभने tcp जडान टुटेको छैन।

Golang सँग वेबसकेटहरूसँग काम गर्नका लागि धेरै पुस्तकालयहरू छन्। ती मध्ये सबैभन्दा लोकप्रिय छन् गोरिल्ला वेबसकेट र मानक वेबसकेट। हामी पछिल्लो प्रयोग गर्नेछौं, किनभने ... यो सरल छ, सानो र, तिनीहरू भन्छन्, अलि छिटो काम गर्दछ।

rsockstun क्लाइन्ट कोडमा, हामीले net.dial वा tls.dial कलहरूलाई सम्बन्धित WebSocket कलहरूसँग प्रतिस्थापन गर्न आवश्यक छ:

हामी हाम्रो टनेलको क्लाइन्टलाई सार्वभौमिक र प्रत्यक्ष SSL जडान र WebSocset प्रोटोकल मार्फत काम गर्न सक्षम बनाउन चाहन्छौं। यसको लागि हामी छुट्टै प्रकार्य सिर्जना गर्नेछौं func connectForWsSocks (ठेगाना स्ट्रिङ, प्रोक्सी स्ट्रिङ) त्रुटि {…} संग समानता द्वारा connectForSocks() र यदि क्लाइन्ट सुरु गर्दा निर्दिष्ट गरिएको सर्भर ठेगाना ws: वा wss: (Secure WebSocket को मामलामा) बाट सुरु हुन्छ भने हामी वेब सकेटहरूसँग काम गर्न प्रयोग गर्नेछौं।

सुरुङको सर्भर साइडको लागि, हामी वेब सकेटहरूसँग काम गर्नको लागि छुट्टै प्रकार्य पनि बनाउनेछौं। यसले http वर्गको उदाहरण सिर्जना गर्नेछ र http जडान ह्यान्डलर (wsHandler प्रकार्य) सेट गर्नेछ:

र हामी वेबसकेट जडान ह्यान्डलरमा सबै जडान प्रशोधन तर्क (पासवर्ड प्रयोग गरेर क्लाइन्ट प्राधिकरण, सेटअप र yamux सत्र समाप्त गर्ने) राख्नेछौं:

हामी परियोजना कम्पाइल गर्छौं र सर्भर भाग सुरु गर्छौं:

./rsockstun –listen ws:127.0.0.1:8080 –pass P@ssw0rd

र त्यसपछि ग्राहक भाग:

./rsockstun -connect ws:127.0.0.1:8080 –pass P@ssw0rd

र हामी स्थानीय होस्टमा काम जाँच गर्छौं:

डोमेन फ्रन्टिङमा जाऔं

हामीले वेबसकेटहरू पत्ता लगाएको जस्तो देखिन्छ। अब सिधै eSNI र डोमेन फ्रन्टिङमा जाऔं। माथि उल्लेख गरिएझैं, DoH र eSNI सँग काम गर्न हामीले कम्पनीबाट विशेष गोलाङ्ग शाखा लिनुपर्छ CloudFlare। हामीलाई eSNI समर्थन (pwu/esni) भएको शाखा चाहिन्छ।

हामी यसलाई स्थानीय रूपमा क्लोन गर्छौं वा सम्बन्धित zip डाउनलोड र अनकम्प्रेस गर्छौं:

git clone -b pwu/esni https://github.com/cloudflare/tls-tris.git

त्यसपछि हामीले GOROOT डाइरेक्टरी प्रतिलिपि गर्न आवश्यक छ, क्लोन गरिएको शाखाबाट सम्बन्धित फाइलहरू बदल्नुहोस् र यसलाई मास्टरको रूपमा सेट गर्नुहोस्। विकासकर्तालाई यो टाउको दुखाइबाट बचाउन, CloudFlare का केटाहरूले एक विशेष स्क्रिप्ट तयार गरेका छन् - _dev/go.sh। हामीले भर्खरै सुरु गर्छौं। मेकफाइलको साथ लिपिले सबै कुरा आफैं गर्नेछ। केवल रमाईलोको लागि, तपाइँ विवरणहरूको लागि मेकफाइल भित्र हेर्न सक्नुहुन्छ।

स्क्रिप्ट चलाएपछि, प्रोजेक्ट कम्पाइल गर्दा, हामीले GOROOT को रूपमा स्क्रिप्टद्वारा तयार गरिएको स्थानीय डाइरेक्टरी निर्दिष्ट गर्न आवश्यक हुनेछ। हाम्रो मामला मा यो यस्तो देखिन्छ:

GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" go build ….

अर्को, हामीले टनेलमा वांछित डोमेनको लागि सार्वजनिक eSNI कुञ्जीहरू अनुरोध गर्ने र पार्स गर्ने कार्यक्षमता लागू गर्न आवश्यक छ। हाम्रो अवस्थामा, यी CloudFlare फ्रन्टएन्ड सर्भरहरूबाट सार्वजनिक eSNI कुञ्जीहरू हुनेछन्। यो गर्नको लागि, हामी तीन प्रकार्यहरू सिर्जना गर्नेछौं:

func makeDoTQuery(dnsName string) ([]byte, error)
func parseTXTResponse(buf []byte, wantName string) (string, error)
func QueryESNIKeysForHost(hostname string) ([]byte, error)

कार्यका नामहरू, सिद्धान्तमा, आफैले बोल्छन्। हामी सामग्री esni_query.go फाइलबाट लिनेछौं, जुन tls-tris को अंश हो। पहिलो प्रकार्यले DoH (DNS-over-HTTPS) प्रोटोकल प्रयोग गरेर CloudFlare DNS सर्भरमा अनुरोधको साथ नेटवर्क प्याकेट सिर्जना गर्दछ, दोस्रोले क्वेरी परिणामहरू पार्स गर्दछ र डोमेनको सार्वजनिक कुञ्जीहरूको मानहरू प्राप्त गर्दछ, र तेस्रो हो। पहिलो दुई को लागि कन्टेनर।

अर्को, हामी हाम्रो नयाँ सिर्जना गरिएको प्रकार्यमा वेब सकेट जडान थप्छौं connectForWsSocks डोमेनका लागि eSNI कुञ्जीहरू अनुरोध गर्नका लागि कार्यक्षमता। जहाँ सर्भर भाग सञ्चालन हुन्छ, हामीले TLS प्यारामिटरहरू सेट गर्छौं, र नक्कली "कभर डोमेन" को नाम पनि सेट गर्छौं:

यहाँ ध्यान दिनुपर्छ कि प्रारम्भमा, tls-tris शाखा डोमेन फ्रन्टिङको प्रयोगको लागि डिजाइन गरिएको थिएन। त्यसकारण, यसले नक्कली सर्भर नाममा ध्यान दिँदैन (एक खाली सर्भरनाम फिल्ड क्लाइन्ट-हेलो प्याकेटको भागको रूपमा पठाइएको छ)। यसलाई ठीक गर्नको लागि, हामीले TlsConfig संरचनामा सम्बन्धित FakeServerName फिल्ड थप्नु पर्छ। हामी संरचनाको मानक ServerName क्षेत्र प्रयोग गर्न सक्दैनौं, किनभने यो आन्तरिक tls संयन्त्र द्वारा प्रयोग गरिन्छ र यदि यो मूल भन्दा फरक छ भने, tls ह्यान्डशेक त्रुटि संग समाप्त हुनेछ। TlsConfig संरचनाको विवरण फाइलमा समावेश छ tls/common.go - हामीले यसलाई ठीक गर्नुपर्छ:

थप रूपमा, हामीले फाइलमा परिवर्तनहरू गर्नुपर्नेछ tls/handshake_client.goTLS ह्यान्डशेक बनाउँदा हाम्रो FakeServerName फिल्ड प्रयोग गर्न:

यति नै! तपाईं परियोजना कम्पाइल र काम जाँच गर्न सक्नुहुन्छ। तर तपाईंले स्क्यान चलाउनु अघि, तपाईंले CloudFlare खाता सेट अप गर्न आवश्यक छ। ठिक छ, म यसलाई कसरी सेट अप गर्न सक्छु - केवल क्लाउडफ्लेयरमा एउटा खाता सिर्जना गर्नुहोस् र तपाईंको डोमेनलाई यसमा लिङ्क गर्नुहोस्। DoH, WebSocket र ESNI सँग सम्बन्धित सबै सुविधाहरू पूर्वनिर्धारित रूपमा CloudFlare मा समावेश छन्। DNS रेकर्डहरू अद्यावधिक भएपछि, तपाईं eSNI कुञ्जीहरू सोधेर डोमेनको सञ्चालन जाँच गर्न सक्नुहुन्छ:

dig +short txt _esni.df13tester.info 

यदि तपाइँ तपाइँको डोमेन को लागी केहि समान देख्नुहुन्छ भने, यसको मतलब सबै कुरा तपाइँको लागि काम गरिरहेको छ र तपाइँ परीक्षण गर्न अगाडि बढ्न सक्नुहुन्छ।

हामी Ubuntu VPS सुरु गर्छौं, उदाहरणका लागि, DigitalOcean मा। P.S. हाम्रो केसमा, प्रदायकद्वारा भर्खरै जारी गरिएको VPS IP ठेगाना RKN कालोसूचीहरूमा समाप्त भयो। त्यसैले तपाईलाई पनि यस्तै घटना भयो भने अचम्म नमान्नुहोस्। मैले मेरो VPS मा पुग्न VPN प्रयोग गर्नु परेको थियो।

हामीले पहिले नै कम्पाइल गरिएको rsockstun लाई VPS मा प्रतिलिपि गर्छौं (यसले गर्दा, गोलाङको अर्को सुन्दरता हो - तपाइँ आफैले परियोजनालाई कम्पाइल गर्न सक्नुहुन्छ र यसलाई कुनै पनि लिनक्समा चलाउन सक्नुहुन्छ, केवल प्रणालीको बिट क्षमता हेरेर) र सर्भर भाग सुरू गर्नुहोस्:

र त्यसपछि ग्राहक भाग:

हामीले देख्न सक्छौं, क्लाइन्ट सफलतापूर्वक वेबसकेट प्रयोग गरेर क्लाउडफ्लेयर फ्रन्टएन्ड सर्भर मार्फत सर्भरमा जडान भयो। सुरुङले ठ्याक्कै सुरुङ जस्तै काम गर्छ भनी जाँच गर्न, तपाईंले स्थानीय मोजा ५ मार्फत कर्ल अनुरोध गर्न सक्नुहुन्छ, सर्भरमा खोल्नुहोस्:

अब DPI ले संचार च्यानलमा के देख्छ हेरौं:

सुरुमा, DoH मेकानिजम प्रयोग गरेर, गन्तव्य डोमेन (प्याकेट नम्बर 1-19) को लागि eSNI कुञ्जीहरूको लागि Cloudflare DNS सर्भरलाई सम्पर्क गर्दछ, र त्यसपछि फ्रन्टएन्ड सर्भरलाई सम्पर्क गर्दछ र TLS जडान स्थापना गर्दछ, डोमेन पछाडि लुकेको। www.google.com (यो पूर्वनिर्धारित मान हो जब ग्राहक सुरु हुँदा कुनै नक्कली डोमेन निर्दिष्ट गरिएको छैन)। आफ्नो नक्कली डोमेन निर्दिष्ट गर्न, तपाईंले -fronfDomain प्यारामिटर प्रयोग गर्नुपर्छ:

अब अर्को कुरा। पूर्वनिर्धारित रूपमा, CloudFalre खाता सेटिङहरू लचिलो SSL मा सेट गरिएको छ। यसको मतलब क्लाउडफ्लेयर फ्रन्टएन्ड सर्भरहरूमा क्लाइन्टहरूबाट https अनुरोधहरू अनइन्क्रिप्टेड (http) हाम्रो सर्भरमा फर्वार्ड गरिनेछ। त्यसकारण हामीले सुरुङको सर्भर भाग गैर-ssl मोडमा सुरु गर्यौं (-listen ws:0.0.0.0), र होइन (-listen wss:0.0.0.0)।

पूर्ण इन्क्रिप्सन मोडमा स्विच गर्नको लागि, तपाईंले चयन गर्नुपर्छ पूर्ण, वा पूर्ण (कडा) यदि सर्भरमा वास्तविक प्रमाणपत्र छ भने। मोड स्विच गरेपछि, हामी https प्रोटोकल प्रयोग गरेर CloudFlare बाट जडानहरू स्वीकार गर्न सक्षम हुनेछौं। सुरुङको सर्भर साइडको लागि स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न गर्न नबिर्सनुहोस्।

एक चतुर पाठकले सोध्नेछ: "विन्डोज क्लाइन्टको बारेमा के हो? आखिर, निश्चित रूपमा, सुरुङको मुख्य प्रयोग कर्पोरेट मेशिनहरू र सर्भरहरूबाट ब्याक जडान बढाउनु हो, र त्यहाँ, नियमको रूपमा, त्यहाँ सधैं विन्डोज हुन्छ। म कसरी विन्डोजको लागि टनेलर कम्पाइल गर्न सक्छु, र एक विशिष्ट TLS स्ट्याकको साथ पनि?" र अब हामी एउटा थप सुविधा प्रस्तुत गर्नेछौं जसले Golang कति सुविधाजनक छ भनेर देखाउँछ। हामी कालीबाट सिधै विन्डोजको लागि कम्पाइल गर्छौं, केवल GOOS=windows प्यारामिटर थप्दै:

GOARCH=amd64 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" GOOS=windows  go build -ldflags="-s -w"

वा 32-बिट संस्करण:

GOARCH=386 GOROOT="/opt/tls-tris/_dev/GOROOT/linux_amd64" GOOS=windows  go build -ldflags="-s -w"

सबै! र थप बाधाहरू आवश्यक छैन। यो साँच्चै काम गर्दछ!

-w र -s कम्पाइलर फ्ल्यागहरू कार्यान्वयनयोग्य फाइलबाट अनावश्यक फोहोर हटाउन आवश्यक छ, यसलाई केही मेगाबाइटहरू सानो बनाउँदै। थप रूपमा, यसलाई फेरि आकार घटाउन UPX प्रयोग गरेर प्याकेज गर्न सकिन्छ।

बरु एक निष्कर्षमा को

लेखमा, गोलाङमा लेखिएको सुरुङको उदाहरण प्रयोग गरेर, हामीले TLS 1.3 प्रोटोकलको बरु चाखलाग्दो सुविधामा लागू गरिएको नयाँ डोमेन-फ्रन्टिङ टेक्नोलोजीको प्रयोगलाई स्पष्ट रूपमा प्रदर्शन गर्यौं। उस्तै तरिकाले, तपाईंले CloudFlare सर्भरहरू मार्फत काम गर्न Golang मा लेखिएका अवस्थित उपकरणहरू अनुकूलन गर्न सक्नुहुन्छ, उदाहरणका लागि। merlin - प्रख्यात C2, वा कोबाल्टस्ट्राइक बीकनलाई eSNI डोमेन-फ्रन्टिङ प्रयोग गर्न दबाब दिनुहोस् जब टिमसर्भर मार्फत काम गर्नुहोस्। बाह्य C2 च्यानल, Golang मा लागू गरिएको छ, वा OpenSSL को प्याच गरिएको संस्करण प्रयोग गरेर मानक C++ मा, जसको बारेमा हामीले लेखको अन्तिम भागमा कुरा गरेका छौं। सामान्यतया, कल्पना को कुनै सीमा छैन।

टनेलर र क्लाउडफ्लेयरको साथको उदाहरण अवधारणाको रूपमा प्रस्तुत गरिएको छ र यस प्रकारको डोमेन फ्रन्टिङको दीर्घकालीन सम्भावनाहरूको बारेमा अझै भन्न गाह्रो छ। यस समयमा, केवल CloudFlare ले eSNI लाई समर्थन गर्दछ र, सैद्धान्तिक रूपमा, तिनीहरूलाई यस प्रकारको फ्रन्टिङ असक्षम गर्न र उदाहरणका लागि, यदि SNI र eSNI मेल खाँदैन भने tls जडानहरू तोड्नबाट कुनै पनि कुराले रोक्दैन। सामान्यतया, भविष्यले बताउनेछ। तर अहिलेको लागि, "kremlin.ru को आवरण" अन्तर्गत काम गर्ने सम्भावना एकदम आकर्षक देखिन्छ। हैन र?

अद्यावधिक गरिएको टनेलर कोड, साथै कम्पाइल गरिएको कार्यान्वयन योग्य फाइलहरू, परियोजनाको छुट्टै शाखामा अवस्थित छन्। github। GitHub मा परियोजना पृष्ठमा सबै सम्भावित टनेलर समस्याहरूको बारेमा एउटा मुद्दा लेख्नु राम्रो हुन्छ।

स्रोत: www.habr.com