Што карпаратыўны фаервол можа і не можа ўбачыць унутры VPN

Той самы ноўтбук падключаецца да VPN з дому і не можа падключыцца з офіса, значыць, хтосьці чытае трафік. Блакіроўка і чытанне — розныя паўнамоцтвы, і толькі другое патрабуе месца на шляху плюс сертыфікат, якому давярае кліент. Прамежкавы кампанент, які скідвае ваша рукапацісканне, не даведаўся нічога пра тое, што вы збіраліся адправіць. Вызначыць, з якім з двух вы сутыкнуліся, — гэта ўся праца.

Блакіроўка і чытанне — розныя паўнамоцтвы

Адмова танна і гучна: сокет адкрываецца, і нішто не адказвае, або адразу прыходзіць скід. Нішто з гэтага не азначае інспекцыю, бо ніводная нагрузка не перайшла праз провад.

Чытанне патрабуе канцавой кропкі, якая спыняе абарону, пацвярджае сябе сертыфікатам і пачынае новае злучэнне далей. Гэтая кропка павінна стаяць на шляху і карыстацца даверам кліента. Фаервол, які толькі перасылае пакеты, не мае ні месца, ні пасведчання.

Што абгортка выдае бясплатна

Кожны пакет тунэля мае вонкавы бок, і гэты бок павінен быць маршрутызуемым. Гэта значыць два адрасы, пратакол, порт і даўжыню, а таксама час і аб’ём. Любы маршрутызатар ужо апрацоўвае гэтыя палі, а NAT перапісвае адрас і порт, каб яго табліца адлюстравання заставалася ўзгодненай. Нагрузка застаецца зачыненай, таму назіранне спыняецца на факце існавання тунэля паміж двума хастамі.

Імя хаста сярод іх няма. Сайты ўцякаюць праз іншыя дзверы, і самыя шырокія — DNS: калі ноўтбук усё яшчэ пытае лакальны рэзалвер, імёны з’яўляюцца ў адкрытым выглядзе.

Час і аб’ём заслугоўваюць павагі, але без перабольшвання. Байтаў за хвіліну могуць паказаць, што вялікая перадача пачалася ў 14:20; яны не могуць паказаць, які файл рушыў. Гэта сапраўднае раскрыццё інфармацыі пра паводзіны, і іншая катэгорыя, чым чытанне змесціва.

Перахоп TLS патрабуе кораня, якому вы ўжо давяраеце

Інспекцыйны прыбор не ламае TLS; ён яго завяршае. Кліенту адказвае сертыфікат ад кораня, якім валодае арганізацыя, а другое злучэнне ідзе да сапраўднага прызначэння. Кліент прымае гэта, бо гэты корань знаходзіцца ў яго сховішчы даверу, таму кіраваны ноўтбук не паказвае папярэджання. Крыптаграфія ніколі не была пераможана; канцавая кропка была перанесена.

Менавіта таму гэтая схема пакідае доказы. Выдавец на прадстаўленым ланцугу належыць арганізацыі, а не публічнаму CA, і кліент можа гэта ўбачыць без спецыяльных інструментаў. Ланцуг, які сканчаецца ўнутраным коранем, — гэта подпіс перахопу, а не няспраўнасць.

Чаму канал VPN — гэта не сеанс HTTPS

Канал даных VPN не дае інспектару такой апоры. IKEv2 і WireGuard праводзяць уласныя рукапацісканні і расклады ключоў, без TLS, які можна завяршыць, тады як OpenVPN пазычае TLS для свайго канала кіравання ў змененай форме, перш чым абараняць даныя ўласным спосабам. Проксі, пабудаваны для HTTPS, не распазнае гэты сеанс як нешта, што ён можа разгледзець.

Прыбор, які не можа разгледзець сеанс, усё роўна можа яго скідваць. Таму блакіроўка VPN звычайна выглядае як тайм-аўт, а не як папярэджанне пра сертыфікат, і таму выключэнне нічога не змяняе.

Праверка са сваёй машыны

Пачніце з ланцуга, які прапануе сайт. Звесткі пра сайт у браўзеры паказваюць выдаўца, а камандны радок паведамляе тое ж самае без зводкі:

openssl s_client -connect example.com:443 -servername example.com

Затым аддзяліце адхіленае рукапацісканне ад адфільтраванага ўнутранага трафіку з дапамогай лічыльнікаў. Запішыце транспартны порт перад любым правілам скіду і прачытайце іх пасля спробы:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Адсутнасць радка журнала на вонкавым сокеце азначае, што рукапацісканне не выйшла, таму шлях адмаўляе тунэль. Завершанае рукапацісканне з няўдачай толькі для некаторых прызначэнняў азначае, што тунэль працуе, а палітыка ўнутры яго — не. Ні адзін з вынікаў не патрабаваў чытання байта нагрузкі.

Чытанне, якое сапраўды адбываецца, знаходзіцца на ўскрайках: раздзелены тунэль аддае ўнутраны HTTPS карпаратыўнаму проксі, а канцэнтратар ва ўласнасці працадаўцы выкрывае ўсё на выхадзе. Што б вы ні знайшлі, не адключайце праверку сертыфіката, каб прымусіць злучэнне, бо гэтая праверка — адзінае, што аддзяляе інспекцыю ад зламысніка.