Wat ’n korporatiewe firewall binne ’n VPN kan sien en wat nie

Dieselfde skootrekenaar bereik die VPN van die huis af en kan nie van die kantoor af konnekteer nie, so iemand moet die verkeer lees. Blokkering en lees is afsonderlike magte, en net die tweede het ’n plek op die pad nodig plus ’n sertifikaat wat die kliënt vertrou. ’n Middelkas wat jou handdruk laat val, het niks geleer oor wat jy sou gestuur het nie. Om te besluit watter van die twee jy in die gesig staar, is die hele taak.

Blokkering en lees is verskillende magte

’n Weiering is goedkoop en lawwe: die soket oop en niks antwoord nie, of ’n reset kom dadelik. Niks daarvan impliseer ondersoek nie, want geen vrag het die draad oorgesteek nie.

Lees vereis ’n eindpunt wat die beskerming beëindig, homself met ’n sertifikaat bewys en ’n vars verbinding verder begin. Daardie eindpunt moet in die pad sit en deur die kliënt vertrou word. ’n Firewall wat net pakkette aanstuur, het nóg posisie nóg geloofsbrief.

Wat die omhulsel verniet weggee

Elke tonnelpakket het ’n buitekant, en die buitekant moet routeerbaar wees. Dit beteken twee adresse, ’n protokol, ’n poort en ’n lengte, plus tydsberekening en volume. Enige router hanteer reeds daardie velde, en ’n NAT herskryf die adres en poort om sy kaarttabel konsekwent te hou. Die vrag bly verseël, so die waarneming stop by die feit dat daar ’n tonnel tussen twee gashere bestaan.

’n Gasheernaam is nie een van hulle nie. Werwe lek deur ander deure, en die wydste is DNS: as die skootrekenaar nog die plaaslike oplosser vra, verskyn die name in die oopte.

Tydsberekening en volume verdien respek sonder om oorskat te word. Grepe per minuut kan wys dat ’n groot oordrag om 14:20 begin; hulle kan nie wys watter lêer beweeg het nie. Dit is ’n werklike openbaarmaking oor gedrag, en ’n ander kategorie as om inhoud te lees.

TLS-onderskeping vereis ’n wortel wat jy reeds vertrou

’n Ondersoekende toestel breek nie TLS nie; dit beëindig dit. Die kliënt word geantwoord deur ’n sertifikaat van ’n wortel wat die organisasie besit, en ’n tweede verbinding gaan na die werklike bestemming. Die kliënt aanvaar dit omdat daardie wortel in sy vertrouenswinkel sit, en daarom wys ’n bestuurde skootrekenaar geen waarskuwing nie. Kriptografie is nooit oorwin nie; die eindpunt is verskuif.

Dit is ook hoekom die reëling bewyse laat. Die uitreiker op die aangebode ketting behoort aan die organisasie eerder as aan ’n openbare CA, en ’n kliënt kan dit sien sonder spesiale gereedskap. ’n Ketting wat by ’n interne wortel eindig, is die handtekening van onderskeping, nie ’n fout nie.

Hoekom ’n VPN-kanaal nie ’n HTTPS-sessie is nie

’n VPN-datakanaal gee ’n inspekteur geen so ’n voetpunt nie. IKEv2 en WireGuard hardloop hul eie handdrukke en sleutelskedules, met geen TLS om te beëindig nie, terwyl OpenVPN TLS leen vir sy beheerkanaal in ’n gewysigde vorm voordat dit data op sy eie manier beskerm. ’n Volmag wat vir HTTPS gebou is, herken nie daardie sessie as iets wat dit kan ontleed nie.

’n Toestel wat ’n sessie nie kan ontleed nie, kan dit steeds laat val. Dit is hoekom VPN-blokkering gewoonlik soos ’n tydsverloop lyk eerder as ’n sertifikaatwaarskuwing, en hoekom ’n uitsondering niks verander nie.

Kontroleer dit vanaf jou eie masjien

Begin met die ketting wat die werf aanbied. Blaaierwerfbesonderhede wys die uitreiker, en die opdragreël rapporteer dieselfde ding sonder die opsomming:

openssl s_client -connect example.com:443 -servername example.com

Skei dan ’n geweierde handdruk van gefiltreerde binneste verkeer met tellers. Teken die vervoerpoort aan voor enige drop-reël en lees hulle ná die poging:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Geen logreël by die buitenste soket beteken die handdruk het nooit vertrek nie, so die pad weier die tonnel. ’n Voltooide handdruk waar net sommige bestemmings misluk, beteken die tonnel werk en die beleid daarbinne nie. Nie een van die resultate het vereis om ’n greep vrag te lees nie.

Die lees wat wel gebeur, sit aan die rande: ’n gesplete tonnel gee interne HTTPS aan ’n korporatiewe volmag, en ’n werkgewerbesitte konsentreerder stel alles by die uitgang bloot. Wat jy ook al vind, moenie sertifikaatverifikasie afskakel om ’n verbinding te forseer nie, want daardie kontrole is die enigste ding wat onderskeping van ’n aanvaller skei.