Korporativ firewall VPN-in içində nəyi görə bilər, nəyi bilməz

Eyni noutbuk evdən VPN-ə qoşulur, ofisdən qoşula bilmir, deməli kimsə trafiki oxuyur. Bloklama və oxuma ayrı səlahiyyətlərdir və yalnız ikincisi yol boyunca bir nöqtə üstəgəl müştərinin etibar etdiyi sertifikat tələb edir. Sizin əl sıxışmanızı atan ara qutu göndərəcəyiniz barədə heç nə öyrənməyib. Hansı ikisi ilə üzləşdiyinizi müəyyən etmək bütün işdir.

Bloklama və oxuma fərqli səlahiyyətlərdir

İmtina ucuz və səslidir: soket açılır və heç nə cavab vermir, ya da dərhal reset gəlir. Bunların heç biri yoxlama demək deyil, çünki heç bir yük naqildən keçməyib.

Oxumaq üçün qorumanı bitirən, özünü sertifikatla sübut edən və irəliyə təzə bağlantı açan bir son nöqtə lazımdır. Həmin son nöqtə yolda olmalı və müştəri tərəfindən etibar edilməlidir. Yalnız paket ötürən firewallın nə mövqeyi var, nə də etimad sənədi.

Sarğıyanın pulsuz verdiyi məlumat

Hər tunel paketinin bir xarici tərəfi var və o xarici tərəf marşrutlaşdırıla bilən olmalıdır. Bu, iki ünvan, protokol, port və uzunluq, üstəgəl vaxt və həcm deməkdir. Hər hansı marşrutlaşdırıcı bu sahələri artıq idarə edir və NAT xəritə cədvəlini uyğun saxalamaq üçün ünvanı və portu yenidən yazır. Yük möhürlü qalır, ona görə müşahidə iki host arasında tunelin olduğu faktı ilə dayanır.

Host adı onların arasında deyil. Saytlar başqa qapılardan sızır və ən genişi DNS-dir: noutbuk hələ də yerli həlledicidən soruşursa, adlar açıq şəkildə görünür.

Vaxt və həcm şişirdilmədən hörmətə layiqdir. Dəqiqədə bayt böyük bir köçürmənin 14:20-də başladığını göstərə bilər; hansı faylın getdiyini göstərə bilməz. Bu davranış barədə real bir açıqlamadır və məzmunu oxumaqdan fərqli kateqoriyadır.

TLS müdaxiləsi artıq etibar etdiyiniz kök tələb edir

Yoxlayan cihaz TLS-i qırmır; onu bitirir. Müştəriyə təşkilatın sahib olduğu kökdən sertifikat cavab verir və ikinci bağlantı əsl təyinat yerinə gedir. Müştəri bunu qəbul edir, çünki o kök onun etimad anbarındadır, buna görə idarə olunan noutbuk heç bir xəbərdarlıq göstərmir. Kriptoqrafiya heç vaxt məğlub edilmədi; son nöqtə yerindən tərpədildi.

Bu həm də ona görədir ki, bu qurğu sübut qoyur. Təqdim olunan zəncirdəki verən şəxsi açıq CA deyil, təşkilata aiddir və müştəri bunu xüsusi alətlər olmadan görə bilər. Daxili kökdə bitən zəncir müdaxilənin imzasıdır, nasazlıq deyil.

Niyə VPN kanalı HTTPS sessiyası deyil

VPN məlumat kanalı yoxlayana belə dayaq vermir. IKEv2 və WireGuard öz əl sıxışmalarını və açar cədvəllərini işlədir, bitiriləcək TLS yoxdur, halbuki OpenVPN idarə kanalı üçün TLS-i dəyişdirilmiş formada borc alır, sonra məlumatları öz üsulu ilə qoruyur. HTTPS üçün qurulmuş proksinin həmin sessiyanı təhlil edə biləcəyi bir şey kimi tanımır.

Sessiyanı təhlil edə bilməyən cihaz onu yenə də ata bilər. Buna görə VPN bloklaması adətən sertifikat xəbərdarlığı kimi deyil, vaxt aşımı kimi görünür və buna görə istisna heç nəyi dəyişmir.

Öz maşınınızdan yoxlama

Saytın təqdim etdiyi zəncirlə başlayın. Brauzerin sayt təfərrüatları verəni göstərir və əmr sətri xülasəsiz eyni şeyi bildirir:

openssl s_client -connect example.com:443 -servername example.com

Sonra rədd edilmiş əl sıxışmanı süzülmüş daxili trafikdən sayğaclarla ayırın. Nəqliyyat portunu hər hansı atma qaydasından əvvəl qeyd edin və cəhddən sonra oxuyun:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Xarici soketdə heç bir log sətri olmaması əl sıxışmanın heç vaxt çıxmadığını bildirir, deməli yol tuneli rədd edir. Tamamlanmış əl sıxışma və yalnız bəzi təyinatların uğursuzluğu tunelin işlədiyini, içindəki siyasətin işləmədiyini bildirir. Nəticələrin heç biri yükün bir baytını oxumağı tələb etmədi.

Həqiqətən baş verən oxuma kənarlarda olur: bölünmüş tunel daxili HTTPS-i korporativ proksiyə verir və işəgötürənə məxsus konsentrator çıxışda hər şeyi açır. Nə tapırsanız tapın, bağlantını məcbur etmək üçün sertifikat yoxlamasını söndürməyin, çünki o yoxlama yoxlamanı hücumçudan ayıran yeganə şeydir.