Пренасочен VPN порт: какво виждат посетителите и доставчикът

Пренасочването на порт дава на непознати маршрут до услуга през публичния адрес на доставчика. Тази единствена промяна засяга едновременно изложеността и разпознаваемостта и нито една от двете не публикува името на този, който управлява услугата. Разделянето на двете избягва противоположните грешки да се приема 'пренасочването' като анонимност и да се приема като идентификация. Три въпроса ги разделят ясно и отговорите идват от различни доказателства.

Три обекта, три различни въпроса

Дръжте публичния адрес отделно от приложението, което отговаря зад него, и дръжте двете отделно от човека или организацията, които управляват нещото. Всяко има своя публика и свои доказателства. Смесването им дава изводи, които звучат подредено и са погрешни.

Минете през тях в този ред. Първият е въпрос за достижимостта, вторият е въпрос за идентичността на приложението, а третият е въпрос за приписването, който първите два осветляват само частично. Когато някой попита дали пренасочването на порт е частно, попитайте кой от трите има предвид. Отговорите наистина се различават и страницата с политики обикновено разглежда само един от тях.

Какво може да свърже посетителят между крайните точки

Посетителят се свързва с крайната точка и вижда каквото приложението законно представя: 'име на хост', име на сертификат, страница за вход, публикувано съдържание. Тези детайли идентифицират услугата дори когато обичайният ѝ адрес за достъп е скрит зад тунела. Две крайни точки, които представят един и същ именуван сайт, дават на наблюдателите основа да ги свържат. Нищо в това поведение не е изтичане, защото приложението е създадено да бъде виждано.

Съвпадението на сертификати, пренасочвания и съдържание на страници между две крайни точки е силен сигнал, че принадлежат на една услуга. То остава твърдение за услугата, а не за човек, докато друг запис не свърже двете.

Насоките на IETF за поверителност описват как устойчивите идентификатори позволяват взаимодействията да бъдат съотнасяни във времето. Съотнасянето не е приписване, защото няколко души могат да администрират една услуга и адресът може да се мести между несвързани абонати. Точно това разграничение пречи на констатация за съотнасяне да се превърне в обвинение.

Какво трябва да знае доставчикът на пренасочването

За да достави входяща връзка, системата на доставчика трябва да държи активната връзка между публичната входна точка и вътрешната дестинация. Този оперативен факт е различен от това, което вижда посетителят, и отново различен от това, което доставчикът избира да запази. Дръжте двата въпроса отделно, когато четете страница с политики, защото едното е неизбежно, а другото е решение. Твърдение, че не се пази история на сърфирането, не казва нищо за историята на съпоставянията.

Дали историческите съпоставяния, връзките с акаунти или записите за връзки остават, е въпрос към действителната политика и реализация на доставчика. Пренасочването не доказва, че всяка категория се записва. Питайте конкретно кои полета остават, след като съпоставянето бъде оттеглено, и за колко време.

Входящата достижимост е отделна и от изходящото маршрутизиране на клиента, DNS и поведението при отказ. Добавянето на съпоставяне не описва как излиза останалият трафик на клиента.

Колко дълго трае съпоставянето променя изложеността

Едно съпоставяне може да трае за сесия, за резервация или съгласно политика на доставчика, която го променя. Не бива да се приема нито постоянно назначаване, нито постоянно въртене; четете документираното поведение на продукта и записвайте какво наблюдавате. Две наблюдения седмица едно от друго казват повече за 'въртенето' от всяко маркетингово изречение на продуктовата страница. Запишете наблюдавания интервал до крайната точка в бележките си, защото интервалът е част от изложеността.

Животът променя какво съотнасяне е възможно. Стабилната крайна точка кани дългосрочно проследяване на една услуга, докато въртящата се прави всяко наблюдение по-трудно за свързване с предишното. Нито едно свойство не е гаранция за записите на доставчика и нито едно не замества решението какво публикува самата услуга.

Публикувайте нарочно, после затворете двете врати

Потвърдете, че доставчикът разрешава протокола, който ви е нужен, че целевият слушател е този, който сте имали предвид, и че контролите на хоста и приложението все още ограничават достъпа. Преди публикуване вижте какво ще представи услугата на непознат. Тези две команди показват сертификата и заглавките, които получава посетителят.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Публикуването на нещо не оправдава разкриването на административните му страници или премахването на входа на приложението, а преводът не доставя TLS на услуга, която никога не е имала такъв. Дръжте шифрования протокол и проверките за идентичност на сървъра на място, независимо как пристига трафикът. След това проверете заглавките на отговора, защото 'банер' или страница за отстраняване на грешки може да каже на непознат повече, отколкото услугата възнамерява. Това, което двете команди връщат, е същият изглед, който получава наблюдателят.

Извеждането на услугата от употреба означава две затваряния, не едно: оттеглете съпоставянето чрез неговия собственик, после се занимайте със слушателя и правото като отделни позиции. Отбелязана крайна точка, която спира да отговаря, не отменя идентификационни данни и не връща вече доставена информация.