Může vám síť zablokovat VPN, aniž by rozbila šifrování?
Šifrování chrání obsah, ne doručení. Porovnejte blokovací seznamy, povolené seznamy a odstávky a pak se ptejte, co jediné pozorování skutečně dokáže podložit.
Žádný operátor nepotřebuje relační klíč, aby zastavil tunel: zahoďte pakety na cestě a tunel selže, zatímco kryptografie zůstane přesně tak silná, jak sliboval její návrh. Šifrování chrání to, co rozhovor nese, ne ochotu kterékoli sítě to nést. Rozdělení těchto dvou vlastností mění spor o neblokovatelnost v otázku, která politika platí a jak daleko sahá. Srovnání níže drží dostupnost a důvěrnost odděleně, protože většina sebevědomých tvrzení o blokování VPN je tiše slučuje.
Dostupnost je rozhodnutí, které dělá cesta
Každý transport závisí na cestě, která předává pakety, a každá otázka politiky se zde redukuje na toto rozhodnutí o předávání. Pravidlo, které zahazuje pakety, mění dostupnost, aniž by se dotklo důvěrnosti, a právě tak může být tunel bezvadně šifrovaný a zároveň zcela nepoužitelný. Nic na tomto výsledku nevyžaduje prolomení šifry ani obnovení klíče. Vyžaduje jen kontrolu nad cestou.
Zmatek obvykle začíná tím, že dvě vlastnosti sdílejí jedno slovo. Silná kryptografie říká, kdo může číst tok; neříká nic o tom, zda ho mezilehlé zařízení propustí. Tvrzení, že VPN nelze zablokovat, proto potřebuje pod sebou druhé tvrzení, totiž že nikdo na cestě není ochoten pakety zahodit.
Styly prosazování a cena každého z nich
Tři styly pokrývají většinu skutečných politik a liší se v tom, co musí vědět, kolik stojí jejich provoz a kdo další trpí. Každý z nich může tunel odmítnout, aniž by cokoli dešifroval. Rozdíly jsou důležité, protože stejné slovo, blokování, se používá pro všechny tři.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Tato tabulka je mapa nákladů, ne žebříček. Blokovací seznam je levný na začátek a drahý na udržení přesnosti; povolený seznam mění objevování za údržbu povoleného souboru a odstávka nepotřebuje žádnou klasifikaci. Neodděluje je technická vytříbenost, ale to, kam každý z nich umisťuje trvalé úsilí. Politika, která vypadá na papíře jednoduše, má obvykle někde jinde skrytou položku údržby.
Blokovací seznam je omezen tím, jak dobře adresa pojmenovává službu
Blokovací seznam odmítá cíle, které už byly identifikovány, a ostatní nechává obecně dostupné. K prosazení potřebuje adresy a porty, ne otevřený text, a právě proto je zpočátku levný na provoz. Náklad přichází později, protože rozsah, který kdysi označoval jednoho poskytovatele, může nakonec hostovat desítku nesouvisejících nájemců. Každá změna adresy vynutí úpravu seznamu a každá zastaralá položka s sebou bere nevinný provoz.
Přesnost je v tomto modelu omezena tím, jak dobře cíl identifikuje službu, a vytížený sdílený koncový bod je špatný identifikátor. To je strukturální limit, ne vada implementace, takže lepší nástroje ho neodstraní. Vysvětluje to také, proč blokovací seznamy rostou: každý nový koncový bod vypadá jako malý přírůstek a vedlejší škody rostou spolu se seznamem.
Povolený seznam přesouvá břemeno údržby
Povolený seznam obrací výchozí stav tak, že projdou jen předem zvolené cíle nebo typy provozu. Nemusí vyjmenovat každý zakázaný koncový bod, což pomáhá, když je zakázaný soubor velký nebo se rychle mění. Místo toho potřebuje udržovanou definici povoleného plus prosazování, které této definici odpovídá.
Čísla portů jsou v takové definici obvyklým slabým místem. Povolit port není totéž jako identifikovat každou aplikaci, která ho může použít, takže povolený seznam založený na portech často propustí víc, než jeho autor zamýšlel. Otisky protokolů mají stejný problém z jiného úhlu, protože identifikují tvar provozu, ne úmysl. Povolený seznam tedy není automaticky přesnější než blokovací; je přesný ohledně něčeho jiného.
Co jedno pozorování podloží a co ne
Každé tvrzení o blokování je třeba číst se čtyřmi otázkami v ruce: které přístupové sítě, které cíle, které protokoly a jaké období pozorování. Selhání viděné dnes v jedné mobilní síti neříká nic o stejném koncovém bodu zítra z jiné sítě. Tunel, který jednou fungoval, také neříká nic o trvající dostupnosti.
Tvar selhání lze pozorovat dřív, než začnete teoretizovat o jeho příčině. Tiché zaseknutí, okamžité odmítnutí a reset po připojení ukazují na různé styly prosazování a dva příkazy je oddělí:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comZaseknutí, které skončí vypršením časového limitu, naznačuje tiché zahazování, rychlé odmítnutí naznačuje zařízení odmítající na cestě a reset po připojení naznačuje stavové zasahování, ne chybějící trasu. Průzkum cenzurních technik RFC 9505 popisuje kontrolní body a vzorce zasahování, které za těmito tvary stojí. Žádný z nich však neříká, jak široce politika platí. Trvalost je silnější tvrzení než dostupnost: koncové body, software, politiky i povolené služby se všechny mění, takže neurčitá účinnost vyžaduje předpoklady o pokračujícím prosazování, ne seznam adres viděných v jednom okamžiku.