Què pot i què no pot veure un tallafoc corporatiu dins d’una VPN

El mateix portàtil arriba a la VPN des de casa i no es pot connectar des de l’oficina, o sigui que algú deu estar llegint el trànsit. Bloquejar i llegir són poders separats, i només el segon necessita un punt al camí més un certificat en què el client confiï. Un element intermedi que descarta el teu handshake no ha après res del que hauries enviat. Decidir amb quin dels dos t’enfrontes és tota la feina.

Bloquejar i llegir són poders diferents

Un rebuig és barat i sorollós: el sòcol s’obre i no respon ningú, o arriba un reset de seguida. Res d’això no implica inspecció, perquè cap càrrega no ha creuat el fil.

Llegir necessita un punt final que acabi la protecció, es demostri amb un certificat i iniciï una connexió nova cap endavant. Aquest punt final ha de ser al camí i ha de merèixer la confiança del client. Un tallafoc que només reenvia paquets no té ni posició ni credencial.

Què regala l’embolcall

Cada paquet del túnel té un exterior, i l’exterior ha de ser encaminable. Això vol dir dues adreces, un protocol, un port i una longitud, a més de temps i volum. Qualsevol encaminador ja gestiona aquests camps, i un NAT reescriu l’adreça i el port per mantenir coherent la seva taula de mapatge. La càrrega continua segellada, així que l’observació s’atura en el fet que hi ha un túnel entre dos hosts.

Un nom d’host no hi és entre ells. Els llocs es filtren per altres portes, i la més ampla és el DNS: si el portàtil encara pregunta al resolutor local, els noms apareixen en clar.

El temps i el volum mereixen respecte sense exagerar-los. Bytes per minut poden mostrar que una transferència gran va començar a les 14:20; no poden mostrar quin fitxer s’ha mogut. És una revelació real sobre el comportament, i una categoria diferent de llegir contingut.

La intercepció TLS necessita una arrel en què ja confiïs

Un aparell d’inspecció no trenca TLS; l’acaba. El client rep resposta amb un certificat d’una arrel que posseeix l’organització, i una segona connexió va cap a la destinació real. El client ho accepta perquè aquesta arrel és al seu magatzem de confiança, i per això un portàtil gestionat no mostra cap avís. La criptografia no ha estat mai derrotada; s’ha mogut el punt final.

També per això el muntatge deixa proves. L’emissor de la cadena presentada pertany a l’organització i no a una CA pública, i un client ho pot veure sense eines especials. Una cadena que acaba en una arrel interna és la signatura de la intercepció, no una avaria.

Per què un canal VPN no és una sessió HTTPS

Un canal de dades VPN no dona a l’inspector aquesta posició. IKEv2 i WireGuard fan els seus propis handshakes i calendaris de claus, sense cap TLS per acabar, mentre que OpenVPN agafa TLS per al seu canal de control en una forma modificada abans de protegir les dades a la seva manera. Un proxy fet per a HTTPS no reconeix aquella sessió com una cosa que pugui analitzar.

Un aparell que no pot analitzar una sessió encara la pot descartar. Per això el bloqueig de VPN sol semblar un temps d’espera i no un avís de certificat, i per això una excepció no canvia res.

Comprovar-ho des de la teva pròpia màquina

Comença per la cadena que presenta el lloc. Els detalls del lloc al navegador mostren l’emissor, i la línia d’ordres informa del mateix sense el resum:

openssl s_client -connect example.com:443 -servername example.com

Després separa un handshake refusat del trànsit intern filtrat amb comptadors. Registra el port de transport abans de qualsevol regla de descart i llegeix-los després de l’intent:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Cap línia de registre al sòcol exterior vol dir que el handshake no ha sortit mai, així que el camí refusa el túnel. Un handshake complet amb només algunes destinacions fallant vol dir que el túnel funciona i la política interior no. Cap dels dos resultats no ha requerit llegir un byte de càrrega.

La lectura que sí que passa és a les vores: un túnel dividit lliura l’HTTPS intern a un proxy corporatiu, i un concentrador propietat de l’empresa exposa-ho tot a la sortida. Passi el que passi, no desactivis la verificació de certificats per forçar una connexió, perquè aquesta comprovació és l’única cosa que separa la inspecció d’un atacant.