VPN-uitgangs-IP is nie ’n bewys van ’n tonnel nie: wat bedieners sien

Iemand vra vir ’n diens wat net VPN-gebruikers kan bereik, en die ooglopende implementering is om ’n lys uitgangsadresse toe te laat. Die lys doen iets werkliks: dit beperk wie kan koppel. Dit bewys nie dat ’n tonnel gebruik is nie, want die adres behoort aan wie ook al die uitgang bedryf, en daardie operateur kan enigiemand se verkeer aanstuur. Die gaping tussen daardie stellings is die hele ontwerpprobleem.

Die bediener sien een adres per verbinding

’n Verbinding kom aan met ’n bronadres en ’n bestemmingspoort, en dit is die omvang van wat die netwerklaag rapporteer. Wanneer ’n kliënt ’n tonnel gebruik, kom die pakkette by jou luisteraar van die uitgang of van die vertaling voor dit. Die kliënt se eie adres, gewoonlik privaat, verskyn nooit. ’n Vuurreël wat vir die kliënt se LAN-reeks geskryf is, doen dus heeltemal niks.

Alles ná daardie bronadres is toepassingsdata, en die toepassing kan dit net vertrou so ver as wat dit dit verifieer.

Toets hoe jou uitgang lyk

Kyk van albei kante na die pad voordat jy ’n reël skryf. Die kliënt se siening van sy uitgang en die bediener se siening van die verbinding is die twee feite wat saak maak.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Die eerste opdrag rapporteer die publieke adres waaronder die kliënt verskyn, en dit is die waarde wat enige toelatingslys moet bevat. Die tweede wys gevestigde verbindings op die bediener met hul eweknie-adresse, en dit is waaraan die reël werklik sal pas. As die twee met jou geestelike model verskil, maak die model reg voordat jy die beleid wysig. ’n Vuurkering vir ’n wolkdatabasis, ’n toepassingstoelatingslys en ’n lasbalanseerder kan elkeen ’n ander vertaallaag sien.

Net een van die twee uitgangstelle kan gelys word

Een geval kan op die oomblik van die versoek getoets word en die ander nie, wat heeltemal verskillende waarborge lewer.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Die gepubliseerde Tor-uitgangslys kan afgelaai en vergelyk word, onderhewig aan die ouderdom van die lys en elke uitgang se eie beleid, so ’n weieringsreël teen bekende uitgange is afdwingbaar en hersienbaar. Daar is geen ekwivalente register vir kommersiële VPN’s nie. Adresse roteer, baie verskaffers publiseer niks, en ’n tonnel kan op ’n gehuurde wolkadres loop wat nooit aan ’n VPN behoort het nie. ’n Lys wat jy saamstel is ’n momentopname van waargeneemde adresse, en om dit na gasheerrekkies te verbreed voeg onverwante werklading by sonder om bewys by te voeg.

Gebruik adresse as beleidsinsette, nie as bewys nie

Besluit waarvoor die reël is. ’n Netwerkbeperking moet smal bly, die waargeneemde adres met sy datum en rede aanteken, en wettige gebruikers ’n herstelpad gee wanneer hul uitgang verander. Toegangsbeheer het ’n geauthentiseerde rekening of ’n ondertekende token nodig, want net dié bind ’n versoek aan ’n identiteit. Risikotelling kan die adres as ’n enkele onbetroubare sein gebruik, met aanvaarding van sy vals positiewes en sy blindekolle. Om die reël as ’n produkbesluit te skryf is eerlik; om dit as verifikasie te skryf dat ’n tonnel bestaan, is nie.

Die spieëlbeeldversoek, om die gebruiker se werklike adres agter ’n VPN te herwin, misluk om dieselfde rede: een verbinding dra een adres, en ’n verandering tussen sessies is met verskeie verklarings versoenbaar. Behandel die vroeëre waarde as geskiedenis, nie as waarheid nie.