Какво корпоративната защитна стена може и какво не може да види във VPN

Същият лаптоп се свързва с VPN от вкъщи и не може да се свърже от офиса, значи някой чете трафика. Блокирането и четенето са различни правомощия и само второто изисква място по пътя плюс сертификат, на който клиентът вярва. Междинното устройство, което изхвърля ръкостискането ви, не е научило нищо за това, което ще изпратите. Да решите с кое от двете се сблъсквате, е цялата работа.

Блокирането и четенето са различни правомощия

Отказът е евтин и шумен: сокетът се отваря и нищо не отговаря, или веднага пристига ресет. Нищо от това не означава инспекция, защото никакъв товар не е преминал по жицата.

Четенето изисква крайна точка, която прекратява защитата, доказва се със сертификат и открива ново свързване нататък. Тази крайна точка трябва да стои на пътя и да се ползва с доверие от клиента. Защитна стена, която само препраща пакети, няма нито позиция, нито удостоверение.

Какво обвивката издава безплатно

Всеки пакет на тунела има външна страна и тя трябва да е маршрутизируема. Това означава два адреса, протокол, порт и дължина, плюс време и обем. Всеки рутер вече обработва тези полета, а NAT пренаписва адреса и порта, за да запази таблицата си за съответствие. Товарът остава запечатан, така че наблюдението спира до факта, че между два хоста съществува тунел.

Име на хост не е сред тях. Сайтовете изтичат през други врати и най-широката е DNS: ако лаптопът още пита локалния резолвер, имената се появяват в открит вид.

Времето и обемът заслужават уважение, без да се преувеличават. Байта в минута могат да покажат голям трансфер, започнал в 14:20; не могат да покажат кой файл е тръгнал. Това е истинско разкриване на поведение и различна категория от четене на съдържание.

TLS прихващането изисква корен, на който вече вярвате

Инспектиращото устройство не чупи TLS; то го прекратява. Клиентът получава отговор със сертификат от корен, който организацията притежава, а второ свързване отива към истинската дестинация. Клиентът приема това, защото този корен стои в неговото хранилище за доверие, поради което управляван лаптоп не показва предупреждение. Криптографията никога не е била победена; крайната точка беше преместена.

Затова и подредбата оставя доказателства. Издателят по представената верига принадлежи на организацията, а не на публичен CA, и клиентът може да види това без специални инструменти. Верига, завършваща във вътрешен корен, е подписът на прихващане, а не повреда.

Защо VPN каналът не е HTTPS сесия

Каналът за данни на VPN не дава на инспектора такава опора. IKEv2 и WireGuard провеждат собствени ръкостискания и ключови графици, без TLS за прекратяване, докато OpenVPN заема TLS за контролния си канал в изменена форма, преди да защити данните по свой начин. Прокси, изградено за HTTPS, не разпознава тази сесия като нещо, което може да разбере.

Устройство, което не може да разбере сесия, все още може да я изхвърли. Затова блокирането на VPN обикновено изглежда като изтичане на времето, а не като предупреждение за сертификат, и затова изключение не променя нищо.

Проверка от собствената машина

Започнете с веригата, която сайтът представя. Подробностите за сайта в браузъра показват издателя, а командният ред съобщава същото без обобщението:

openssl s_client -connect example.com:443 -servername example.com

След това отделете отказаното ръкостискане от филтрирания вътрешен трафик с броячи. Запишете транспортния порт преди всяко правило за изхвърляне и ги прочетете след опита:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Липсата на ред в журнала при външния сокет означава, че ръкостискането никога не е излязло, значи пътят отказва тунела. Завършено ръкостискане само с част от дестинациите, които се провалят, означава, че тунелът работи, а политиката вътре в него — не. Нито един от резултатите не изискваше четене на байт от товара.

Четенето, което наистина се случва, е по краищата: разделеният тунел предава вътрешния HTTPS на корпоративно прокси, а концентратор, собственост на работодателя, разкрива всичко на изхода. Каквото и да откриете, не изключвайте проверката на сертификата, за да наложите свързване, защото тази проверка е единственото, което отделя инспекцията от нападател.