VPN çıxış IP-si tunel sübutu deyil: serverlər nə görür

Kimsə yalnız VPN istifadəçilərinin çata bildiyi bir xidmət istəyir və aşkar tətbiq çıxış ünvanlarının siyahısına icazə verməkdir. Siyahı həqiqi bir iş görür: kimin qoşula biləcəyini məhdudlaşdırır. Bu, tuneldən istifadə olunduğunu sübut etmir, çünki ünvan çıxışı idarə edənə aiddir və o operator istənilən şəxsin trafikini ötürə bilər. Bu iki ifadə arasındakı fərq bütün dizayn problemidir.

Server hər bağlantı üçün bir ünvan görür

Bağlantı mənbə ünvanı və təyinat portu ilə gəlir və şəbəkə qatının bildirdiyi hüdud budur. Müştəri tunel istifadə etdikdə, dinləyicinizə çatan paketlər çıxışdan və ya onun qarşısındakı çevirmədən gəlir. Müştərinin öz ünvanı, adətən özəl, heç vaxt görünmür. Buna görə müştərinin yerli şəbəkə aralığı üçün yazılmış firewall qaydası heç bir şey etmir.

Həmin mənbə ünvanından sonra gələn hər şey tətbiq məlumatıdır və tətbiq ona yalnız onu doğruladığı qədər etibar edə bilər.

Çıxışınızın necə göründüyünü yoxlayın

Qayda yazmadan əvvəl yola hər iki tərəfdən baxın. Müştərinin öz çıxışına baxışı və serverin bağlantıya baxışı əhəmiyyətli olan iki faktdır.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Birinci əmr müştərinin göründüyü ictimai ünvanı bildirir və hər hansı icazə siyahısında olmalı olan dəyər budur. İkincisi serverdə qurulmuş bağlantıları həmsöhbət ünvanları ilə göstərir və qayda əslində buna uyğun gələcək. Əgər ikisi sizin zehni modelinizlə uyğunsuzdursa, siyasəti redaktə etməzdən əvvəl modeli düzəldin. Bulud verilənlər bazası firewall-u, tətbiq icazə siyahısı və yük balanslaşdırıcısı hər biri fərqli çevirmə qatı görə bilər.

İki çıxış dəstindən yalnız biri siyahıya salına bilər

Bir hal sorğu anında yoxlanıla bilir, digəri isə yox, bu da tamamilə fərqli təminatlar yaradır.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Yayımlanmış Tor çıxış siyahısı əldə edilə və müqayisə oluna bilər, siyahının yaşından və hər çıxışın öz siyasətindən asılı olaraq, buna görə tanınmış çıxışlara qarşı rədd qaydası tətbiq oluna və nəzərdən keçirilə bilər. Kommersiya VPN-ləri üçün ekvivalent reyestr yoxdur. Ünvanlar dəyişir, bir çox provayder heç nə dərc etmir və tunel heç vaxt VPN-ə aid olmamış icarəyə götürülmüş bulud ünvanında işləyə bilər. Tərtib etdiyiniz siyahı müşahidə olunmuş ünvanların anlıq görüntüsüdür və onu hostinq aralıqlarına genişləndirmək sübut əlavə etmədən əlaqəsiz iş yükləri əlavə edir.

Ünvanlardan siyasət girişi kimi istifadə edin, sübut kimi deyil

Qaydanın nə üçün olduğuna qərar verin. Şəbəkə məhdudiyyəti dar qalmalı, müşahidə olunan ünvanı tarixi və səbəbi ilə qeyd etməli və çıxışları dəyişdikdə qanuni istifadəçilərə bərpa yolu verməlidir. Giriş nəzarəti autentifikasiyadan keçmiş hesab və ya imzalanmış token tələb edir, çünki yalnız onlar sorğunu kimliyə bağlayır. Risk qiymətləndirməsi ünvanı bir etibarsız siqnal kimi istifadə edə bilər, onun yalan müsbətlərini və kor nöqtələrini qəbul edərək. Qaydanı məhsul qərarı kimi yazmaq dürüstdür; onu tunelin mövcudluğunun yoxlanması kimi yazmaq isə deyil.

Əks tələb, yəni VPN arxasındakı istifadəçinin real ünvanını bərpa etmək, eyni səbəbdən uğursuz olur: bir bağlantı bir ünvan daşıyır və sessiyalar arasındakı dəyişiklik bir neçə izahla uzlaşır. Əvvəlki dəyəri tarix kimi qəbul edin, həqiqət kimi deyil.