Сэрвіс Onion супраць сэрвісу VPN: розныя мадэлі доступу

Адрас Onion прывязаны да ключа сэрвісу і дасягаецца ўнутры Tor; VPN дае маршрут да шлюза. Параўнайце аўдыторыю, выяўленне і аўтэнтыфікацыю праграмы.

Людзі апісваюць сэрвіс Onion і сэрвіс, даступны толькі праз VPN, як два варыянты адной ідэі: схаваць порт і падзяліцца сакрэтным адрасам. Яны розняцца тым, да чаго прывязаны адрас, хто можа да яго дабрацца і што павінна адбыцца да прыходу запыту. Адзін — гэта месца сустрэчы ўнутры Tor, другі — маршрут унутры прыватнай сеткі. Разгляд іх як узаемазаменных стварае праекты, якія не з’яўляюцца ні прыватнымі, ні зручнымі ў падтрымцы.

Міф: абедзве мадэлі — проста схаваныя дзверы

Агульная ўласцівасць рэальная, але тонкая: ні адна з мадэляў не ставіць адміністрацыйны інтэрфейс на непасрэдна дасяжны публічны порт. Усё астатняе разыходзіцца. Адрас Onion выводзіцца з уласнага ключа сэрвісу, таму імя прывязана да ідэнтычнасці; адрас VPN — гэта проста адрас унутры сеткі, у якую вас дапусцілі. Адна хавае сэрвіс унутры накладзенай сеткі, другая дапускае вас у прыватную тапалогію. Менавіта разгляд другой як сіноніма першай і пачынае блытаніну.

Ні адна з уласцівасцей не з’яўляецца сродкам абароны для самой праграмы. Схаванае месца не латае праграмнае забеспячэнне за ім, а прыватны маршрут не дадае аўтэнтыфікацыі на старонку ўваходу. Абедзве мадэлі па-ранейшаму патрабуюць уласных дазволаў праграмы, і абедзве па-ранейшаму патрабуюць кагосьці адказнага за абнаўленні і аднаўленне.

На што насамрэч паказвае адрас Onion

Адрас Onion вэрсіі v3 кадуе публічны ключ сэрвісу, і таму ніхто не можа выбраць адрас для сэрвісу, якім не валодае. Кліент злучаецца праз Tor з месцам сустрэчы, і сэрвіс дасягае таго ж пункта са свайго боку; ні адзін звычайны выхадны вузел не нясе гэтае злучэнне да сэрвісу. Імя — гэта ідэнтычнасць, а не запіс DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Таму даданне маршруту або запісу hosts для імя onion нічога не дае. Пошук — не механізм; механізм — кліент Tor і яго ланцугі. Калі сэрвіс прызначаны для невялікага кола людзей, аўтарызацыя кліента onion можа патрабаваць ключа да прыняцця злучэння, але гэта ўсё яшчэ не ўваход у праграму. Публікацыя адраса — таксама свядомы ўчынак, бо кожны, хто яго даведаецца, можа паспрабаваць злучэнне, калі вы не абмежавалі доступ.

Спыніцеся, калі адзіная прычына мадэлі onion — пазбегнуць наладкі аўтэнтыфікацыі. Накладзеная сетка гэтага не дае, і вы ўсё роўна пабудуеце яе пазней.

Што насамрэч дае маршрут VPN

VPN дапускае прыладу ў сетку і дае ёй маршрут да шлюза або падсеткі. Сэрвіс за гэтым шлюзам бачыць адрас з пула тунеля і прымяняе тое, на што мае аўтарызацыю. Маршрут нічога не кажа пра тое, хто карыстальнік; ён кажа, куды могуць ісці пакеты.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Гэтая мадэль падыходзіць вядомай групе з кіруемымі прыладамі, бо шлюз можа прымяняць патрабаванні да стану прылады, а сетку можна аўдытаваць. Яна дрэнна падыходзіць для ананімных або выпадковых наведвальнікаў, якіх спачатку трэба было б залічыць. Уласны ўваход у праграму па-ранейшаму вырашае, што злучаны карыстальнік можа чытаць. Блытаніна дасяжнасці з дазволам — гэта шлях, якім VPN у рэшце рэшт выдае цэлую падсетку ўсім, хто можа падключыцца.

Спыніцеся, калі аўдыторыя невядомая або пастаянна змяняецца. Залічэнне незнаёмцаў у прыватную сетку, каб паказаць ім адну старонку, — вялікае абавязацельства ў параўнанні з публікацыяй сэрвісу.

Выбар паміж імі і што застаецца нязменным

Выбірайце мадэль onion, калі аўдыторыя тэхнічная, сэрвіс не павінен мець публічнага адраса наогул, і вы можаце прыняць патрабаванні кліента Tor. Выбірайце мадэль VPN, калі аўдыторыя — вызначаная група, чые прылады вы кіруеце і чыё доступ хочаце запісваць на ўзроўні сеткі. Ні адзін выбар не здымае патрэбу ў аўтэнтыфікацыі праграмы, латанні або шляху аднаўлення. Ні адзін не з’яўляецца аўтаматычна больш прыватным у сэнсе, які важны для вашых карыстальнікаў.

У абедзвюх мадэлях запішыце, хто можа дабрацца да сэрвісу, як яны ідэнтыфікуюцца і што адбываецца пры страце ўліковых даных. Адказ для сэрвісу onion уключае яго ключы аўтарызацыі кліента і сам адрас; адказ для VPN уключае абліковы запіс, прыладу і палітыку шлюза. Гэта розныя інвентары, і толькі адзін з іх будзе відавочны наступнаму адміністратару.

Параўнанне сканчаецца там, дзе пачынаецца праграма. Схаваны адрас і прыватны маршрут — гэта выбар транспарту, і праграме па-ранейшаму трэба вырашыць, што запыту дазволена рабіць. Трымайце гэтыя рашэнні ў асобных дакументах, і ні адна мадэль не паглыне ціха працу другой.

Падобныя артыкулы