Ці можа сетка заблакаваць ваш VPN, не зламаўшы шыфраванне?
Шыфраванне абараняе змест, а не дастаўку. Параўнайце чорныя і белыя спісы ды адключэнні, а потым спытайце, што на самой справе можа даць адно назіранне.
Ні адзін аператар не патрабуе ключа сеанса, каб спыніць тунель: адкіньце пакеты на шляху — і ён не працуе, а крыптаграфія застаецца гэтакай жа моцнай, як абяцаў яе дызайн. Шыфраванне абараняе тое, што нясе размова, а не гатоўнасць любой сеткі гэта несці. Раздзяленне гэтых дзвюх уласцівасцей ператварае спрэчку пра немагчымасць блакіроўкі ў пытанне пра тое, якая палітыка дзейнічае і наколькі далёка яна сягае. Параўнанне ніжэй трымае даступнасць і канфідэнцыйнасць асобна, бо большасць упэўненых сцвярджэнняў пра блакіроўку VPN ціха злівае іх разам.
Даступнасць — гэта рашэнне, якое прымае шлях
Кожны транспарт залежыць ад шляху, які перасылае пакеты, і любое пытанне палітыкі тут зводзіцца менавіта да гэтага рашэння. Правіла, што скідвае пакеты, змяняе даступнасць, не кранаючы канфідэнцыйнасці, і менавіта так тунель можа быць бездакорна зашыфраваны і цалкам непрыдатны адначасова. Нішто ў такім выніку не патрабуе ўзлому шыфра або аднаўлення ключа. Патрабуецца толькі кантроль над шляхам.
Блытаніна звычайна пачынаецца з таго, што дзве ўласцівасці дзеляць адно слова. Моцная крыптаграфія кажа пра тое, хто можа чытаць паток; яна нічога не кажа пра тое, ці прапусціць яго прамежкавы прыбор. Таму сцвярджэнне, што VPN нельга заблакаваць, патрабуе другога сцвярджэння пад ім: што ніхто на шляху не гатовы скідваць пакеты.
Стылі прымянення і цана кожнага
Тры стылі ахопліваюць большасць рэальных палітык, і яны розняцца тым, што павінны ведаць, колькі каштуе іх праца і хто яшчэ церпіць. Кожны з іх можа адмовіць тунелю, нічога не дэшыфруючы. Адрозненні важныя, бо адно і тое ж слова, блакіроўка, ужываецца да ўсіх трох.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Гэтая табліца — карта выдаткаў, а не рэйтынг. Чорны спіс танны на старце і дарагі ў падтрыманні дакладнасці; белы спіс мяняе выяўленне на падтрыманне дазволенага набору, а адключэнне наогул не патрабуе класіфікацыі. Іх раздзяляе не тэхнічная вытанчанасць, а тое, дзе кожны размяшчае пастаянныя намаганні. Палітыка, якая выглядае простай на паперы, звычайна мае схаваны радок выдаткаў у іншым месцы.
Чорны спіс абмежаваны тым, наколькі добра адрас называе паслугу
Чорны спіс адмаўляе ў пунктах прызначэння, якія ўжо вызначаны, і пакідае астатнія звычайна даступнымі. Для яго прымянення патрэбныя адрасы і порты, а не адкрыты тэкст, і менавіта гэта робіць яго спачатку танным. Кошт прыходзіць пазней, бо дыяпазон, які некалі вызначаў аднаго пастаўшчыка, можа потым размясціць дзясятак непаўязаных арандатараў. Кожная змена адраса цягне за сабой праваку спіса, і кожны састарэлы запіс забірае з сабой невінаваты трафік.
Дакладнасць у гэтай мадэлі абмежаваная тым, наколькі добра пункт прызначэння вызначае паслугу, а заняты агульны канцавы пункт — дрэнны ідэнтыфікатар. Гэта структурная мяжа, а не дэфект рэалізацыі, таму лепшыя інструменты яе не здымаюць. Гэта таксама тлумачыць, чаму чорныя спісы схільныя расці: кожны новы канцавы пункт выглядае як дробнае дапаўненне, а пабочныя страты растуць разам са спісам.
Белы спіс пераносіць цяжар падтрымання
Белы спіс перавяртае прадвызначанае, так што праходзіць могуць толькі загадзя выбраныя пункты прызначэння або тыпы трафіку. Яму не трэба пералічваць кожны забаронены канцавы пункт, што дапамагае, калі забаронены набор вялікі або хутка змяняецца. Замест гэтага яму патрэбнае падтрыманае вызначэнне дазволенага плюс прымяненне, якое гэтаму вызначэнню адпавядае.
Нумары портаў — звычайнае слабое месца ў такім вызначэнні. Дазволіць порт не тое ж самае, што вызначыць кожную праграму, якая можа ім карыстацца, таму белы спіс на аснове портаў часта пускае больш, чым задумаў яго аўтар. Адбіткі пратаколаў маюць тую ж праблему з іншага боку, бо яны вызначаюць форму трафіку, а не намер. Таму белы спіс не аўтаматычна дакладнейшы за чорны; ён дакладны адносна іншага.
Што можа і чаго не можа даць адно назіранне
Любое сцвярджэнне пра блакіроўку варта чытаць, трымаючы ў руках чатыры пытанні: якія сеткі доступу, якія пункты прызначэння, якія пратаколы і які перыяд назірання. Збой, убачаны сёння ў адной мабільнай сетцы, нічога не кажа пра той жа канцавы пункт заўтра з іншай сеткі. Тунель, які аднойчы спрацаваў, таксама нічога не кажа пра ўстойлівую даступнасць.
Форму збою можна назіраць раней, чым будаваць тэорыі пра яго прычыну. Ціхае завісанне, імгненная адмова і скід пасля падключэння паказваюць на розныя стылі прымянення, і дзве каманды раздзяляюць іх:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comЗавісанне, што сканчаецца тайм-аўтам, паказвае на ціхі скід; хуткая адмова — на адхіляючую прыладу на шляху, а скід пасля падключэння — на ўздзеянне з захаваннем стану, а не на адсутны маршрут. Агляд тэхнік цэнзуры RFC 9505 апісвае пункты кантролю і схемы ўздзеяння, што стаяць за гэтымі формамі. Але ніводзін з іх не кажа, наколькі шырока дзейнічае палітыка. Сталасць — мацнейшае сцвярджэнне, чым даступнасць: канцавыя пункты, праграмнае забеспячэнне, палітыкі і дазволеныя паслугі ўсе змяняюцца, таму неабмежаваная эфектыўнасць патрабуе здагадак пра працяг прымянення, а не спіса адрасоў, убачаных у адзін момант.