عنوان IP لخروج VPN ليس دليلاً على نفق: ما تراه الخوادم

يطلب أحدهم خدمة لا يصل إليها إلا مستخدمو VPN، والتطبيق البديهي هو السماح بقائمة من عناوين الخروج. القائمة تفعل شيئاً حقيقياً: فهي تحدّد من يستطيع الاتصال. وهي لا تثبت أنه جرى استخدام نفق، لأن العنوان ملك لمن يشغّل المخرج، ويمكن لذلك المشغّل أن يمرّر حركة أي شخص. الفجوة بين هاتين العبارتين هي مشكلة التصميم كلها.

يرى الخادم عنواناً واحداً لكل اتصال

يصل الاتصال بعنوان مصدر ومنفذ وجهة، وهذا كل ما تبلغ عنه طبقة الشبكة. عندما يستخدم العميل نفقاً، تأتي الحزم الواصلة إلى المستمع لديك من المخرج أو من الترجمة أمامه. عنوان العميل نفسه، وهو عادة خاص، لا يظهر أبداً. لذلك فإن قاعدة جدار ناري مكتوبة لنطاق شبكة العميل المحلية لا تفعل شيئاً على الإطلاق.

كل ما يأتي بعد عنوان المصدر هذا هو بيانات تطبيق، ولا يستطيع التطبيق أن يثق بها إلا بقدر ما يتحقق منها.

اختبر كيف يبدو مخرجك

انظر إلى المسار من الطرفين قبل كتابة أي قاعدة. رؤية العميل لمخرجه ورؤية الخادم للاتصال هما الحقيقتان المهمتان.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

الأمر الأول يبلّغ بالعنوان العام الذي يظهر به العميل، وهي القيمة التي يجب أن تحتويها أي قائمة سماح. والثاني يُظهر الاتصالات القائمة على الخادم مع عناوين أقرانها، وهو ما ستطابقه القاعدة فعلاً. إذا اختلف الاثنان مع تصورك الذهني، فأصلح التصور قبل تعديل السياسة. جدار حماية لقاعدة بيانات سحابية وقائمة سماح لتطبيق وموازن تحميل يمكن أن يرى كل منها طبقة ترجمة مختلفة.

واحدة من مجموعتي الخروج فقط يمكن إدراجها

حالة واحدة قابلة للفحص لحظة الطلب والأخرى ليست كذلك، وهذا ينتج ضمانات مختلفة تماماً.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

قائمة مخارج Tor المنشورة يمكن جلبها ومقارنتها، رهناً بعمر القائمة وسياسة كل مخرج، لذا فإن قاعدة رفض ضد المخارج المعروفة قابلة للتنفيذ والمراجعة. لا يوجد سجل مكافئ لشبكات VPN التجارية. العناوين تتغير، وكثير من المزودين لا ينشرون شيئاً، ويمكن لنفق أن يعمل على عنوان سحابي مستأجر لم يكن يوماً لشبكة VPN. القائمة التي تجمعها هي لقطة لعناوين مرصودة، وتوسيعها إلى نطاقات استضافة يضيف أحمالاً غير ذات صلة دون أن يضيف دليلاً.

استخدم العناوين كمدخل للسياسة، لا كدليل

قرّر الغرض من القاعدة. القيد الشبكي ينبغي أن يبقى ضيقاً، وأن يسجّل العنوان المرصود مع تاريخه وسببه، وأن يمنح المستخدمين الشرعيين مسار استعادة عندما يتغير مخرجهم. التحكم في الوصول يحتاج إلى حساب موثّق أو رمز موقّع، لأن هذين وحدهما يربطان الطلب بهوية. يمكن لتصنيف المخاطر أن يستخدم العنوان كإشارة واحدة غير موثوقة، مع قبول إيجابياته الكاذبة ونقاطه العمياء. كتابة القاعدة كقرار منتج أمر صادق؛ كتابتها كتحقق من وجود نفق ليست كذلك.

الطلب المعاكس، أي استعادة العنوان الحقيقي للمستخدم خلف VPN، يفشل للسبب نفسه: اتصال واحد يحمل عنواناً واحداً، والتغير بين الجلسات يتوافق مع تفسيرات عدة. عامل القيمة السابقة كتاريخ، لا كحقيقة.