VPN və proksi: hər biri nəyi əhatə edir, nəyi etmir

Həm VPN, həm də irəli proksi vebsaytın gördüyü ünvanı dəyişir və müqayisələrin çoxu burada bitir. Qurğunuzu müəyyən edən fərq əhatə dairəsidir: irəli proksi tətbiqinizin istifadə etməyi seçdiyi vasitəçidir, vebsaytın önündə duran tərs proksidən fərqli olaraq, VPN isə əməliyyat sisteminin tunelə yönəltdiyi hər şeyi ötürür. Şifrələmə, DNS ilə işləmə və uğursuzluq davranışı bu bölgüdən irəli gəlir. Bu beş yoxlamanı ardıcıllıqla aparın və ilk uğursuz olan sizə həqiqətən hansı alət lazım olduğunu göstərəcək.

Vasitəçi hansı tətbiqləri əhatə edir?

Brauzer proksi uzantısı yalnız həmin brauzer profilində işləyir. Poçt proqramları, paket menecerləri və ikinci brauzer öz parametrlərindən istifadə etməyə davam edir, bəzi tətbiqlər isə sistem proksi dəyişənlərini tamamilə nəzərə almır. VPN isə marşrut cədvəlinin tunelə göndərdiyini əhatə edir; bu, marşrutlardan və müştəri siyasətindən asılı olaraq bütün tətbiqlər və ya bölünmüş tunel alt çoxluğu ola bilər.

Bir səhifə yükləməsindən nəticə çıxarmaq əvəzinə vacib tətbiqləri sınayın. curl https://ifconfig.me mühit proksi dəyişənlərinə uyğun gedir; masaüstü tətbiq isə getməyə bilər. Windows-da netsh winhttp show proxy xidmətlərin istifadə etdiyi WinHTTP proksisini çap edir və bu, brauzerin parametrindən fərqli bir parametrdir.

Hop şifrələnirmi və TLS harada bitir?

Proksi protokolu görüş yeridir, zəmanət deyil. SOCKS5 TCP-ni şifrələmədən ötürür, adi HTTP proksisi isə sorğu sətrini və başlıqları açıq mətnlə daşıyır. Proksi vasitəsilə HTTPS CONNECT istifadə edir, yəni TLS sessiyanız proksidə deyil, hədəfdə bitir. MDN-in proksi serverləri və tunelləşdirmə bələdçisi bu fərqi protokol tərəfdən izah edir.

VPN cihazınızla onun son nöqtəsi arasındakı seqmenti şifrələyir. Son nöqtədən sonra hər hansı digər şəbəkədəki kimi eyni qaydalar tətbiq olunur, buna görə də tək tunel adi HTTP ilə etimad məlumatı göndərən tətbiqi qorumur. Heç bir dizayn daxil olmuş hesabı, kukini və ya brauzer barmaq izini gizlətmir.

curl -v -x http://127.0.0.1:3128 https://example.com/ -o /dev/null
curl -v -x socks5h://127.0.0.1:1080 https://example.com/ -o /dev/null

Ətraflı çıxış curl-un 443 portuna CONNECT yoxsa tam URL ilə adi GET göndərdiyini göstərir. socks5h:// ilə host adı SOCKS5 sorğusunun içində proksiyə verilir və o, oxuya bilmədiyi TLS-i ötürür, yəni adı və bayt saylarını görür. http:// proksisi vasitəsilə https:// URL-i CONNECT olur, buna görə həmin proksi də hədəf adını və həcmini görür, sorğunu və ya cavab gövdəsini yox.

Adı hansı həlledici görür?

Ad həlli sorğu çıxmadan əvvəl yerli olaraq baş verə bilər və ya proksidə uzaqdan. curl ilə socks5h:// host adını proksiyə göndərir, socks5:// isə əvvəlcə onu yerli həll edir. Brauzer proksi parametrləri oxşar DNS seçimi təqdim edir və PAC faylları müxtəlif hostları fərqli yollarla yönləndirə bilər.

İki protokol proksisi heç bir səhv konfiqurasiya olmadan yan keçə bilər. WebRTC namizədləri STUN üzərindən toplayır, QUIC isə HTTP/3-ü UDP üzərində işlədir, TCP proksisi bunu daşıya bilməz. UDP 443 bloklanıbsa brauzer TCP-yə qayıdacaq, buna görə də HTTP/3-ü proksi yolunda saxlamağın etibarlı yolu brauzer bayrağı deyil, UDP 443-ü host firewallunda (və ya bütün şəbəkə üçün routerdə) bloklamaqdır.

Həlledicini noutbukunuzun deyil, hədəfin baxış bucağından yoxlayın. Proksin çıxış ünvanı ilə gələn, amma adı yerli həll olunmuş sorğu yenə də yerli həllediciyə hansı saytları ziyarət etdiyinizi bildirir.

Vasitəçi uğursuz olduqda nə olur?

Açıq proksi bağlı rejimdə uğursuz olur: proksi prosesini dayandırın və brauzer ya tətbiq birbaşa getmək əvəzinə bağlantı xətası qaytarır. PAC və WPAD qurğuları isə açıq rejimdə uğursuz olanlardır - skript əldə oluna bilmirsə, müştəri DIRECT-ə qayıdır və sayt yenidən real ünvanınızı görür. VPN isə müştəridən və qoruyucu açarın ya firewall qaydasının aktiv olmasından asılı olaraq açıq və ya bağlı uğursuz ola bilər.

Uğursuzluq halını qəsdən sınayın: proksi xidmətini dayandırıb səhifəni yeniləyin; birbaşa yükləmə əvəzinə xəta səhifəsi alırsınızsa, geri dönüşü görmək üçün PAC URL-ni əlçatmaz hosta yönəldin. Səhifə hələ də adi marşrutunuzla yüklənirsə, proksi öz kəsintisinə qarşı heç bir qoruma təklif etmir və bu, ona güvənməzdən əvvəl bilməli olduğunuz bir xüsusiyyətdir.

Sıra saytın nə gördüyünü müəyyən edir. Çıxışı VPN-dən keçən proksi saytın VPN son nöqtəsinin ünvanını görməsinə səbəb olur; proksini tuneldən kənara qoyun (uzaq hostdakı proksiyə VPN) və sayt əvəzində həmin proksin çıxış ünvanını görür. Hər iki halda iki hop fərqli şeylər qeyd edə bilər.

Beş yoxlama, ardıcıllıqla

Aşağıdakı yoxlama siyahısı bütün qərarı bir yerdə toplayır. Əhatə dairəsi birinci gəlir, çünki uyğunsuzluqların çoxunu aradan qaldırır: əhatə olunmalı tətbiq parametrə əməl etmirsə, siyahıda sonrakı heç nə onu xilas etmir.

Sonra nəticəni dəyişikliyə səbəb olan tətbiqlə təsdiqləyin. Konfiqurasiya edilmiş brauzerdə səhifə açın, həmin səhifəni curl ilə əldə edin və hər birinin bildirdiyi ünvanı müqayisə edin. Fərqlidirlərsə, uzantı, PAC qaydası və ya tətbiq səviyyəsində üstələmə hələ də işləyir və heç bir tunel tənzimləməsi bunu düzəltməyəcək.

Nə konfiqurasiya etdiyinizi qeyd edin: hansı tətbiqlər proksidən istifadə edir, DNS yerli ya uzaqdır, UDP bloklanıbmı və uğursuzluq davranışı nədir. Məhz bu kiçik inventar növbəti müqayisəni mümkün edir, çünki “IP dəyişdi” heç vaxt bu beş yoxlamadan hansının keçdiyini demədi.