QUIC 服务器开加密 客户端不开加密 限制域名 竟然能连接

[k79e]

v4.36.2
我服务器配置的一个证书 肯定限制域名的 不是自动生成的
客户端填错域名信息 报错无法连接 域名不对

改对了能连接

然后奇怪的问题出现了
客户端关闭tls 竟然也能连接. 这是为啥?

乃至改错域名 无法连接 然后关了tls或者注释掉他 又立刻能连接了.
可是我tls设置里面是不允许非安全的 "allowInsecure": false,
我只注释了security 而tls设置没管它

按理说tls关了 tls设置也应该不生效. 那么既然没域名信息 他又是什么连接上的? (我连接地址填的ip)
而且就算生效 我域名写的就是错的 这时候他怎么能接上!??
恐怕是allowinsecure出了什么问题?

是不是客户端关闭tls 然后开启tls的时候 自动还会走加密
然而这时候 tls设置被忽略了 (默认是允许不安全连接的) 所以就连接上了 是这样么?

是他自己获取服务器证书然后使用了对应的域名么? 看起来只有这个可能性了

[bhoppi]

两句话总结QUIC与TLS配置的关系：
当TLS配置合法有效并启用时，QUIC就读取并使用你的TLS设置。这时如果域名对不上，又有"allowInsecure": false的设定（默认），就会报错无法连接。
否则，当TLS配置不合法或者未启用时，QUIC就忽略掉你的配置，内部生成一个域名为quic.internal.example.com的证书，并设置"allowInsecure": true。此时不对域名进行验证，可以连接上，但并不安全。

[k79e]

配置很合法
测试是修改的客户端配置 不是服务端

[k79e]

你直接说客户端关了tls也关不掉 会自动开启tls 走默认配置不就完事了...
然后默认配置就是不校验证书的..

[bhoppi]

这么理解是不对的。默认的TLS配置allowInsecure的值是false，也就是不允许非安全连接。
当且仅当使用QUIC协议并且读取不到TLS配置信息时，自动生成的TLS配置内特别包含了"allowInsecure": true这一条。
使用其他传输协议时，就不会存在这个问题。
所以楼下 @database64128 才会这么提议。

[k79e]

我还以为默认是不校验呢 天哪 这果然是bug!!!! 他为啥不按默认的走呢!!!

[bhoppi]

这的确是个安全隐患。
我猜测原作者是为了让QUIC协议能够“开箱即用”，所以添加了自动生成TLS配置的功能，但自动生成的证书显然不能通过校验，所以又加了"allowInsecure": true。

[k79e]

真是方便的有些吓人了 :D

[database64128]

The current behavior when the client doesn't have TLS configured is dangerous. I think we should change it to let v2ray panic at startup when using QUIC without TLS configured.

[k79e]

It will automatic enable tls but won't verify certificate. (on client)

[k79e]

Maybe should show a warn that default tls setting is used to prevent accident wrong configurate.
well I'm wrong the default setting will verify certificate!!!