Kan ’n netwerk jou VPN blokkeer sonder om enkripsie te breek?
Enkripsie beskerm inhoud, nie aflewering nie. Vergelyk bloklyste, toelaatlyste en afsluitings, en vra dan wat een waarneming werklik kan ondersteun.
Geen operateur het ’n sessiesleutel nodig om ’n tonnel te stop nie: gooi die pakkette op die pad weg en dit misluk, terwyl die kriptografie presies so sterk bly as wat sy ontwerp belowe het. Enkripsie beskerm wat ’n gesprek dra, nie die bereidwilligheid van enige netwerk om dit te dra nie. Om daardie twee eienskappe te skei, verander ’n argument oor onblokkeerbaarheid in ’n vraag oor watter beleid in werking is en hoe ver dit strek. Die vergelyking hieronder hou beskikbaarheid en vertroulikheid apart, want die meeste selfversekerde bewerings oor VPN-blokkering smelt hulle stilweg saam.
Bereikbaarheid is ’n besluit wat die pad neem
Elke vervoer berus op ’n pad wat pakkette aanstuur, en elke beleidsvraag hier kom neer op daardie aanstuur-besluit. ’n Reël wat pakkette laat val, verander beskikbaarheid sonder om vertroulikheid te raak; dit is hoe ’n tonnel foutloos geënkripteer en terselfdertyd heeltemal onbruikbaar kan wees. Niks aan daardie uitkoms vereis dat ’n syfer gebreek of ’n sleutel herwin word nie. Dit vereis net beheer oor die pad.
Verwarring begin gewoonlik wanneer twee eienskappe een woord deel. Sterk kriptografie sê wie ’n stroom kan lees; dit sê niks oor of ’n middelkas dit sal deurlaat nie. ’n Bewering dat ’n VPN nie geblokkeer kan word nie, het dus ’n tweede bewering daaronder nodig, naamlik dat niemand op die pad bereid is om die pakkette weg te gooi nie.
Handhawingstyle, en die prys van elkeen
Drie style dek die meeste werklike beleide, en hulle verskil in wat hulle moet weet, wat dit kos om te bedryf en wie anders daaronder ly. Elkeen kan ’n tonnel weier sonder om enigiets te dekripteer. Die verskille maak saak omdat dieselfde woord, blokkering, vir al drie gebruik word.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Daardie tabel is ’n kostekaart eerder as ’n ranglys. ’n Bloklys is goedkoop om te begin en duur om akkuraat te hou; ’n toelaatlys ruil ontdekking vir instandhouding van die toegelate stel, en ’n afsluiting het hoegenaamd geen klassifikasie nodig nie. Wat hulle skei, is nie tegniese gesofistikeerdheid nie, maar waar elkeen die voortdurende inspanning plaas. ’n Beleid wat op papier eenvoudig lyk, het gewoonlik êrens anders ’n verborge instandhoudingslyn.
’n Bloklys word begrens deur hoe goed ’n adres ’n diens benoem
’n Bloklys weier bestemmings wat reeds geïdentifiseer is en laat die res algemeen beskikbaar. Om dit toe te pas, het adresse en poorte nodig, nie gewone teks nie, en dit is wat dit aanvanklik goedkoop maak om te bedryf. Die koste kom later, want ’n reeks wat eens een verskaffer geïdentifiseer het, kan later ’n dosyn onverwante huurders huisves. Elke adresverandering dwing ’n lyswysiging af, en elke verouderde inskrywing neem onskuldige verkeer saam.
Presisie op hierdie model word beperk deur hoe goed ’n bestemming ’n diens identifiseer, en ’n besige gedeelde eindpunt is ’n swak identifiseerder. Dit is ’n strukturele beperking eerder as ’n implementeringsfout, so beter gereedskap verwyder dit nie. Dit verduidelik ook waarom bloklyste geneig is om te groei: elke nuwe eindpunt lyk soos ’n klein byvoeging, en die kollaterale skade groei saam met die lys.
’n Toelaatlys verskuif die instandhoudingslas
’n Toelaatlys keer die verstek om sodat slegs die bestemmings of verkeerstipes wat vooraf gekies is, kan deurgaan. Dit hoef nie elke verbode eindpunt te lys nie, wat help wanneer die verbode stel groot is of vinnig verander. Wat dit eerder nodig het, is ’n bygehoue definisie van wat toegelaat word, plus handhawing wat by daardie definisie pas.
Poortnommers is die gewone swak punt in so ’n definisie. Om ’n poort toe te laat is nie dieselfde as om elke toepassing te identifiseer wat dit kan gebruik nie, so ’n poortgebaseerde toelaatlys laat dikwels meer deur as wat die opsteller bedoel het. Protokol-vingerafdrukke het dieselfde probleem uit ’n ander hoek, want hulle identifiseer ’n vorm van verkeer eerder as ’n bedoeling. ’n Toelaatlys is dus nie outomaties meer presies as ’n bloklys nie; dit is presies oor iets anders.
Wat een waarneming kan ondersteun en wat nie
Enige bewering oor blokkering moet gelees word met vier vrae in die hand: watter toegangsnetwerke, watter bestemmings, watter protokolle en watter waarnemingsperiode. ’n Fout wat vandag op een selfoonnetwerk gesien word, sê niks oor dieselfde eindpunt môre vanaf ’n ander netwerk nie. ’n Tonnel wat een keer gewerk het, sê ook niks oor volgehoue beskikbaarheid nie.
Die vorm van ’n fout kan waargeneem word voordat jy oor die oorsaak teoretiseer. ’n Stille hang, ’n onmiddellike weiering en ’n herstel ná verbinding wys op verskillende handhawingstyle, en twee opdragte skei hulle:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com’n Hang wat in ’n tydsverloop eindig, dui op stilswyende wegdoening; ’n vinnige weiering dui op ’n verwerpende toestel op die pad, en ’n herstel ná verbinding dui op toestandgebaseerde inmenging eerder as ’n ontbrekende roete. Die RFC 9505-opname van sensuurtegnieke beskryf die kontrolepunte en inmengingspatrone agter daardie vorms. Nie een daarvan sê egter hoe wyd die beleid geld nie. Permanensie is ’n sterker bewering as bereikbaarheid: eindpunte, sagteware, beleide en toegelate dienste verander almal, so onbepaalde doeltreffendheid vereis aannames oor voortgesette handhawing eerder as ’n lys adresse wat op een oomblik gesien is.