Onion xidməti VPN xidmətinə qarşı: fərqli giriş modelləri

İnsanlar Onion xidmətini və yalnız VPN ilə açılan xidməti eyni ideyanın iki variantı kimi təsvir edir: portu gizlət, gizli ünvanı paylaş. Onlar ünvanın nəyə bağlandığına, kimin ona çata bildiyinə və sorğu gəlməzdən əvvəl nə baş verməli olduğuna görə fərqlənir. Biri Tor daxilində görüş nöqtəsidir, digəri şəxsi şəbəkə daxilində marşrutdur. Onlara bir-birini əvəz edən şeylər kimi baxmaq nə şəxsi, nə də saxlanıla bilən dizaynlar doğurur.

Mif: hər iki dizayn sadəcə gizli qapıdır

Ortaq xüsusiyyət realdır, amma zəifdir: heç bir dizayn inzibati interfeysi birbaşa çatıla bilən açıq porta qoymur. Bundan sonrakı hər şey fərqlənir. Onion ünvanı xidmətin öz açarından törədilir, ona görə ad kimliyə bağlıdır; VPN ünvanı isə sadəcə daxil edildiyiniz şəbəkədəki ünvandır. Biri xidməti örtük qatın içində gizlədir, digəri sizi şəxsi topologiyaya daxil edir. İkincini birincinin sinonimi saymaq qarışıqlığın başladığı yerdir.

Xüsusiyyətlərin heç biri tətbiqin özü üçün təhlükəsizlik nəzarəti deyil. Gizli məkan arxasındakı proqram təminatını yamaqlamır, şəxsi marşrut isə giriş səhifəsinə doğrulama əlavə etmir. Hər iki dizayn hələ də tətbiqin öz icazələrinə ehtiyac duyur və hər ikisi hələ də yeniləmələrə və bərpaya cavabdeh birini tələb edir.

Onion ünvanı əslində nəyə işarə edir

v3 Onion ünvanı xidmətin açıq açarını kodlaşdırır, buna görə heç kim nəzarət etmədiyi xidmət üçün ünvan seçə bilməz. Müştəri Tor vasitəsilə görüş nöqtəsinə qoşulur, xidmət də öz tərəfindən həmin nöqtəyə çatır; heç bir adi çıxış qovşağı bu bağlantını xidmətə daşımır. Ad kimlikdir, DNS qeydi deyil.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Buna görə onion adı üçün marşrut və ya hosts qeydi əlavə etmək heç bir işə yaramır. Axtarış mexanizm deyil; Tor müştərisi və onun dövrələri mexanizmdir. Əgər xidmət kiçik bir qrup üçün nəzərdə tutulubsa, onion müştəri avtorizasiyası bağlantı qəbul edilməzdən əvvəl açar tələb edə bilər, amma bu yenə də tətbiqə giriş deyil. Ünvanı dərc etmək də qəsdən atılan addımdır, çünki onu öyrənən hər kəs məhdudlaşdırmamışsınızsa, bağlantı yoxlaya bilər.

Əgər onion dizaynının yeganə səbəbi doğrulamanı qurmaqdan yayınmaqdırsa, dayanın. Örtük qat bunu vermir və siz onu yenə də sonra quracaqsınız.

VPN marşrutu əslində nə verir

VPN cihazı şəbəkəyə qəbul edir və ona şlüzə və ya alt şəbəkəyə marşrut verir. Həmin şlüzün arxasındakı xidmət tunel hovuzundan bir ünvan görür və malik olduğu avtorizasiyanı tətbiq edir. Marşrut istifadəçinin kim olduğu barədə heç nə demir; paketlərin hara gedə biləcəyini deyir.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Bu model idarə olunan cihazları olan tanınmış qrup üçün uyğundur, çünki şlüz cihaz vəziyyətini tətbiq edə bilər və şəbəkə audit edilə bilər. Anonim və ya ad hoc ziyarətçilər üçün zəif uyğundur, çünki onlar əvvəlcə qeydiyyata alınmalı olardı. Tətbiqin öz girişi hələ də qoşulmuş istifadəçinin nə oxuya biləcəyini həll edən şeydir. Əlçatanlığı icazə ilə qarışdırmaq VPN-in sonda qoşula bilən hər kəsə bütöv bir alt şəbəkə verməsinin yoludur.

Auditoriya naməlumdursa və ya daim dəyişirsə, dayanın. Yad adamlara bir səhifə göstərmək üçün onları şəxsi şəbəkəyə qeyd etmək bir xidmət dərc etməklə müqayisədə böyük öhdəlikdir.

Onlar arasında seçim və dəyişməyən şeylər

Onion modelini auditoriya texniki olduqda, xidmətin ümumiyyətlə açıq ünvanı olmamalı olduqda və Tor-un müştəri tələblərini qəbul edə bildikdə seçin. VPN modelini auditoriya cihazlarını idarə etdiyiniz və girişini şəbəkə səviyyəsində qeyd etmək istədiyiniz müəyyən qrup olduqda seçin. Heç bir seçim tətbiq doğrulamasına, yamaqlamaya və ya bərpa yoluna olan ehtiyacı aradan qaldırmır. Heç biri istifadəçiləriniz üçün əhəmiyyətli olan mənada avtomatik olaraq daha şəxsi deyil.

Hər iki dizaynda kimin xidmətə çata bildiyini, necə tanındığını və etimad məlumatı itirildikdə nə baş verdiyini yazın. Onion xidməti üçün cavab onun müştəri avtorizasiyası açarlarını və ünvanın özünü əhatə edir; VPN üçün cavab hesabı, cihazı və şlüz siyasətini əhatə edir. Bunlar fərqli inventarlardır və yalnız biri növbəti administrator üçün aydın olacaq.

Müqayisə tətbiqin başladığı yerdə bitir. Gizli ünvan və şəxsi marşrut nəqliyyat seçimləridir və tətbiq hələ də sorğunun nə etməsinə icazə verildiyini həll etməlidir. Bu qərarları ayrı sənədlərdə saxlayın və heç bir dizayn digərinin işini səssizcə mənimsəməyəcək.