Yönləndirilmiş VPN portu: ziyarətçilər və provayder nə görə bilər

Portu yönləndirmək yad adamlara provayderin ictimai ünvanı vasitəsilə xidmətə yol verir. Bu tək dəyişiklik həm məruz qalmanı, həm də tanınanlığı eyni vaxtda təsir edir və heç biri xidməti idarə edənin adını yayımlamır. İkisini ayrı saxlamaq 'yönləndirmə'ni anonimlik kimi qəbul etmək və onu identifikasiya kimi qəbul etmək kimi əks səhvlərdən qoruyur. Üç sual onları aydın şəkildə ayırır və cavablar fərqli dəlillərdən gəlir.

Üç obyekt, üç fərqli sual

İctimai ünvanı arxasında cavab verən tətbiqdən ayrı saxlayın və hər ikisini işi idarə edən şəxsdən və ya təşkilatdan ayrı saxlayın. Hər birinin öz auditoriyası və öz dəlilləri var. Onları qarışdırmaq səliqəli səslənən və yanlış olan nəticələr verir.

Onları bu ardıcıllıqla işləyin. Birinci əlçatanlıq sualıdır, ikinci tətbiq kimliyi sualıdır, üçüncü isə ilk ikisinin yalnız qismən işıqlandırdığı aidiyyət sualıdır. Kimsə port yönləndirməsinin məxfi olub-olmadığını soruşanda, hansı üçündən bəhs etdiyini soruşun. Cavablar həqiqətən fərqlənir və siyasət səhifəsi adətən yalnız birini əhatə edir.

Ziyarətçi son nöqtələr arasında nəyi əlaqələndirə bilər

Ziyarətçi son nöqtəyə qoşulur və tətbiqin qanuni şəkildə təqdim etdiyini görür: 'host adı', sertifikat adı, giriş səhifəsi, dərc edilmiş məzmun. Bu detallar xidməti tunelin arxasında adi giriş ünvanı gizlədildikdə belə tanıdır. Eyni adlı saytı təqdim edən iki son nöqtə müşahidəçilərə onları əlaqələndirmək üçün əsas verir. Bu davranışda heç bir sızma yoxdur, çünki tətbiq görünmək üçün tasarlanıb.

Sertifikatların, yönləndirmələrin və səhifə məzmununun iki son nöqtədə üst-üstə düşməsi onların bir xidmətə aid olduğuna dair güclü siqnaldır. Bu, başqa bir qeyd ikisini birləşdirənə qədər xidmət haqqında bir ifadə olaraq qalır, insan haqqında yox.

IETF məxfilik təlimatı davamlı identifikatorların qarşılıqlı təsirlərin zamanla korrelyasiya edilməsinə necə imkan verdiyini təsvir edir. Korrelyasiya aidiyyət deyil, çünki bir xidməti bir neçə adam idarə edə bilər və ünvan əlaqəsiz abunəçilər arasında keçə bilər. Bu fərq korrelyasiya tapıntısının ittihama çevrilməsinin qarşısını alır.

Yönləndirmə provayderi nə bilməlidir

Gələn bağlantını çatdırmaq üçün provayderin sistemi ictimai giriş nöqtəsi ilə daxili təyinat arasındakı aktiv əlaqəni saxlamalıdır. Bu əməliyyat faktı ziyarətçinin gördüyündən fərqlidir və provayderin saxlamağı seçdiyindən də yenidən fərqlənir. Siyasət səhifəsini oxuyarkən iki sualı ayrı saxlayın, çünki biri qaçılmazdır, digəri isə qərardır. Heç bir gəzinti tarixçəsinin saxlanmadığına dair ifadə xəritələmə tarixçəsi haqqında heç nə demir.

Tarixi xəritələmələrin, hesab əlaqələrinin və ya bağlantı qeydlərinin qalıb-qalmadığı provayderin faktiki siyasəti və tətbiqi ilə bağlı sualdır. Yönləndirmə hər kateqoriyanın qeydə alındığını sübut etmir. Xəritələmə geri götürüldükdən sonra hansı sahələrin qaldığını və nə qədər müddətə qaldığını xüsusi olaraq soruşun.

Gələn əlçatanlıq müştərinin gedən marşrutlaşdırmasından, DNS-dən və uğursuzluq davranışından da ayrıdır. Xəritələmə əlavə etmək müştərinin qalan trafikinin necə çıxdığını təsvir etmir.

Xəritələmənin müddəti məruz qalmanı dəyişir

Xəritələmə bir sessiya boyu, rezervasiya üçün və ya onu dəyişən provayder siyasəti çərçivəsində davam edə bilər. Nə daimi təyinat, nə də daimi rotasiya fərz edilməlidir; məhsulun sənədləşdirilmiş davranışını oxuyun və müşahidə etdiyinizi qeyd edin. Bir həftə aralı iki müşahidə 'rotasiya' haqqında məhsul səhifəsindəki hər hansı marketinq cümləsindən çox şey deyir. Müşahidə olunan intervalı qeydlərinizdə son nöqtənin yanına yazın, çünki interval məruz qalmanın bir hissəsidir.

Ömür nəyin korrelyasiya edilə biləcəyini dəyişir. Sabit son nöqtə bir xidmətin uzunmüddətli izlənməsini dəvət edir, dönən son nöqtə isə hər müşahidəni əvvəlkinə qoşmağı çətinləşdirir. Nə bir xassə provayderin qeydləri barədə zəmanətdir, nə də biri xidmətin özünün nə dərc etdiyini qərarlaşdırmağın əvəzidir.

Qəsdən dərc edin, sonra iki qapını da bağlayın

Provayderin sizə lazım olan protokola icazə verdiyini, hədəf dinləyicinin nəzərdə tutduğunuz dinləyici olduğunu və host və tətbiq nəzarətlərinin hələ də girişi məhdudlaşdırdığını təsdiqləyin. Dərc etməzdən əvvəl xidmətin yad adama nə təqdim edəcəyinə baxın. Bu iki əmr ziyarətçinin aldığı sertifikatı və başlıqları göstərir.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Nəyisə dərc etmək onun idarəetmə səhifələrini açmağı və ya tətbiqin girişini ləğv etməyi əsaslandırmır, tərcümə isə heç vaxt olmayan xidmətə TLS vermir. Trafikin necə gəlməsindən asılı olmayaraq şifrələnmiş protokolu və onun server kimliyi yoxlamalarını yerində saxlayın. Sonra cavab başlıqlarını yoxlayın, çünki 'banner' və ya sazlama səhifəsi yad adama xidmətin nəzərdə tutduğundan çoxunu deyə bilər. İki əmrin qaytardığı şey müşahidəçinin gördüyü eyni mənzərədir.

Xidməti dayandırmaq iki bağlanma deməkdir, bir yox: xəritələməni sahibi vasitəsilə geri götürün, sonra dinləyici və hüquqla ayrı-ayrı bəndlər kimi məşğul olun. Cavab verməyi dayandıran əlfəcinlənmiş son nöqtə etimadnaməni ləğv etmir və artıq çatdırılmış məlumatı geri qaytarmır.