Şəbəkə şifrələməni pozmadan VPN-inizi bloklaya bilərmi?
Şifrələmə məzmunu qoruyur, çatdırılmanı yox. Qara siyahıları, ağ siyahıları və bağlamaları müqayisə edin, sonra bir müşahidənin nəyə dəlalət edə biləcəyini soruşun.
Heç bir operator tuneli dayandırmaq üçün sessiya açarına ehtiyac duymur: yoldakı paketləri atın, o uğursuz olur, kriptoqrafiya isə dizaynının vəd etdiyi qədər güclü qalır. Şifrələmə söhbətin daşıdığını qoruyur, hər hansı şəbəkənin onu daşımaq istəyini yox. Bu iki xassəni ayırmaq, bloklanmazlıq barədə mübahisəni hansı siyasətin qüvvədə olduğu və nə qədər uzağa çatdığı sualına çevirir. Aşağıdakı müqayisə əlçatanlıqla məxfilikı ayrı saxlayır, çünki VPN bloklanması barədə əksər inamlı iddialar onları səssizcə birləşdirir.
Əlçatanlıq yolun verdiyi qərardır
Hər nəqliyyat paketləri yönləndirən yoldan asılıdır və buradakı hər siyasət sualı həmin yönləndirmə qərarına qayıdır. Paketləri atan qayda məxfiliyə toxunmadan əlçatanlığı dəyişir; tunel məhz beləcə qüsursuz şifrələnmiş və eyni anda tamamilə yararsız ola bilər. Bu nəticənin heç bir hissəsi şifri qırmağı və ya açarı bərpa etməyi tələb etmir. O, yalnız yol üzərində nəzarət tələb edir.
Qarışıqlıq adətən iki xassənin bir sözü paylaşmasından başlayır. Güclü kriptoqrafiya axını kimin oxuya biləcəyini bildirir; aralıq qurğunun onu keçirib-keçirməyəcəyi barədə isə heç nə demir. Ona görə də VPN-in bloklana bilməyəcəyi iddiası altında ikinci bir iddia tələb edir: yolda heç kimin paketləri atmağa hazır olmaması.
Tətbiq üsulları və hər birinin qiyməti
Üç üsul real siyasətlərin çoxunu əhatə edir və onlar nəyi bilməli olduqlarına, istismar xərclərinə və başqa kimin zərər çəkdiyinə görə fərqlənir. Hər biri heç nəyi deşifrə etmədən tuneli rədd edə bilər. Fərqlər vacibdir, çünki eyni söz, bloklama, hər üçü üçün işlədilir.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Bu cədvəl sıralama deyil, xərc xəritəsidir. Qara siyahı başlamaq üçün ucuz, dəqiq saxlamaq üçün bahadır; ağ siyahı kəşfi icazə verilən çoxluğun saxlanması ilə dəyişir, bağlama isə ümumiyyətlə təsnifat tələb etmir. Onları ayıran texniki incəlik deyil, hər birinin davamlı səyi hara qoymasıdır. Kağızda sadə görünən siyasətin adətən başqa yerdə gizli bir saxlanma xərci olur.
Qara siyahının hüdudu ünvanın xidməti nə qədər yaxşı adlandırmasından asılıdır
Qara siyahı artıq müəyyən edilmiş təyinatları rədd edir, qalanını isə ümumən açıq saxlayır. Onu tətbiq etmək üçün açıq mətn deyil, ünvanlar və portlar lazımdır; ilk vaxtlar onu ucuz edən budur. Xərc sonra gəlir, çünki bir vaxtlar bir provayderi bildirən diapazon sonradan onlarla əlaqəsiz kirayəçini yerləşdirə bilər. Hər ünvan dəyişikliyi siyahı düzəlişini məcbur edir və hər köhnəlmiş giriş günahsız trafiki özü ilə aparır.
Bu modeldə dəqiqlik təyinatın xidməti nə qədər yaxşı tanıması ilə məhdudlaşır və məşğul paylaşılan son nöqtə zəif identifikatordur. Bu, tətbiq qüsuru deyil, struktur həddir, ona görə daha yaxşı alətlər onu aradan qaldırmır. Bu həm də qara siyahıların niyə böyüməyə meylli olduğunu izah edir: hər yeni son nöqtə kiçik bir əlavə kimi görünür, yan təsir isə siyahı ilə birlikdə böyüyür.
Ağ siyahı saxlanma yükünü yerini dəyişir
Ağ siyahı standartı tərsinə çevirir ki, yalnız əvvəlcədən seçilmiş təyinatlar və ya trafik növləri keçə bilsin. O, hər qadağan olunmuş son nöqtəni sadalamaq məcburiyyətində deyil, bu da qadağan çoxluğu böyük olduqda və ya tez dəyişdikdə kömək edir. Əvəzində ona icazə verilənin saxlanılan tərifi və həmin tərifə uyğun tətbiq lazımdır.
Port nömrələri belə tərifdə adi zəif nöqtədir. Porta icazə vermək ondan istifadə edə bilən hər tətbiqi tanımaqla eyni deyil, ona görə porta əsaslanan ağ siyahı çox vaxt müəllifin nəzərdə tutduğundan çoxunu qəbul edir. Protokol barmaq izlərinin də başqa baxımdan eyni problemi var, çünki onlar niyyəti deyil, trafikin formasını tanıyır. Buna görə ağ siyahı avtomatik olaraq qara siyahıdan daha dəqiq deyil; o, başqa bir şey barədə dəqiqdir.
Bir müşahidənin nəyə dəlalət edə biləcəyi və bilmədiyi
Bloklama barədə hər hansı iddia dörd sualla oxunmalıdır: hansı giriş şəbəkələri, hansı təyinatlar, hansı protokollar və hansı müşahidə dövrü. Bu gün bir mobil şəbəkədə görülən uğursuzluq sabah başqa şəbəkədən həmin son nöqtə barədə heç nə demir. Bir dəfə işləyən tunel də davamlı əlçatanlıq barədə heç nə demir.
Uğursuzluğun formasını səbəbi barədə nəzəriyyə qurmadan əvvəl müşahidə etmək olar. Səssiz donma, dərhal imtina və qoşulduqdan sonra sıfırlama fərqli tətbiq üsullarına işarə edir və iki əmr onları ayırır:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comZaman aşımı ilə bitən donma səssiz atmağa işarə edir, sürətli imtina yolda rədd edən qurğuya, qoşulmadan sonra sıfırlama isə çatışmayan marşrutdan çox hallı müdaxiləyə işarə edir. RFC 9505 senzura texnikalarının icmalı bu formaların arxasındakı nəzarət nöqtələrini və müdaxilə nümunələrini təsvir edir. Lakin heç biri siyasətin nə qədər geniş tətbiq olunduğunu demir. Davamlılıq əlçatanlıqdan daha güclü iddiadır: son nöqtələr, proqram təminatı, siyasətlər və icazə verilən xidmətlər hamısı dəyişir, ona görə qeyri-müəyyən effektivlik bir anda görülən ünvanlar siyahısına deyil, tətbiqin davam etməsi ilə bağlı fərziyyələrə ehtiyac duyur.