Služba Onion versus služba VPN: různé modely přístupu

Onion adresa je vázaná na klíč služby a dosahuje se uvnitř Toru; VPN poskytuje trasu k bráně. Porovnejte publikum, zjišťování a ověřování v aplikaci.

Lidé popisují službu Onion a službu dostupnou jen přes VPN jako dvě varianty téže myšlenky: skryj port a sdílej tajnou adresu. Liší se v tom, k čemu je adresa vázaná, kdo se k ní dostane a co se musí stát, než dorazí požadavek. Jedna je místo setkání uvnitř Toru, druhá je trasa uvnitř privátní sítě. Považovat je za zaměnitelné vytváří návrhy, které nejsou ani soukromé, ani udržovatelné.

Mýtus: oba návrhy jsou jen skryté dveře

Společná vlastnost je skutečná, ale tenká: žádný z návrhů neumisťuje administrativní rozhraní na přímo dostupný veřejný port. Všechno další se rozchází. Onion adresa se odvozuje z vlastního klíče služby, takže jméno je vázané na identitu; VPN adresa je jen adresa v síti, do které jste byli vpuštěni. Jeden skrývá službu v překryvné síti, druhý vás vpouští do privátní topologie. Považovat druhý za synonymum prvního je začátek zmatku.

Ani jedna z vlastností není bezpečnostní kontrola pro aplikaci samotnou. Skryté umístění nezáplatuje software za ním a privátní trasa nepřidává ověřování na přihlašovací stránku. Oba návrhy stále potřebují vlastní oprávnění aplikace a stále potřebují někoho odpovědného za aktualizace a obnovu.

Na co Onion adresa vlastně ukazuje

Adresa Onion ve verzi v3 kóduje veřejný klíč služby, a proto si nikdo nemůže vybrat adresu pro službu, kterou nekontroluje. Klient se připojuje přes Tor k místu setkání a služba dosáhne stejného bodu ze své strany; žádný běžný výstupní uzel nenese toto spojení ke službě. Jméno je identita, ne záznam DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Proto přidání trasy nebo záznamu v hosts pro onion jméno nic nepřinese. Vyhledávání není mechanismus; mechanismem je klient Toru a jeho okruhy. Pokud je služba určena malé skupině lidí, onion autorizace klienta může vyžadovat klíč před přijetím spojení, ale to stále není přihlášení do aplikace. Zveřejnění adresy je také záměrný čin, protože kdokoli se ji dozví, může zkusit spojení, pokud jste ho neomezili.

Zastavte se, pokud jediným důvodem pro onion návrh je vyhnout se nastavení ověřování. Překryvná síť to neposkytuje a vy ji stejně budete stavět později.

Co VPN trasa vlastně dává

VPN vpouští zařízení do sítě a dává mu trasu k bráně nebo podsíti. Služba za touto bránou vidí adresu z fondu tunelu a uplatní, k čemu má oprávnění. Trasa neříká nic o tom, kdo je uživatel; říká, kam mohou pakety jít.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Tento model sedí známé skupině se spravovanými zařízeními, protože brána může vynutit stav zařízení a síť lze auditovat. Špatně sedí anonymním nebo ad hoc návštěvníkům, které by nejprve museli zapsat. Přihlášení do aplikace samotné stále rozhoduje o tom, co připojený uživatel smí číst. Záměna dostupnosti s oprávněním je způsob, jak VPN nakonec dá celou podsíť každému, kdo se může připojit.

Zastavte se, pokud je publikum neznámé nebo se neustále mění. Zapsat cizince do privátní sítě, abyste jim ukázali jednu stránku, je velký závazek ve srovnání se zveřejněním služby.

Volba mezi nimi a co zůstává stejné

Zvolte onion model, když je publikum technické, služba nesmí mít vůbec veřejnou adresu a můžete přijmout požadavky klienta Toru. Zvolte VPN model, když je publikum určená skupina, jejíž zařízení spravujete a jejíž přístup chcete zaznamenávat na síťové vrstvě. Ani jedna volba neodstraňuje potřebu ověřování aplikace, záplat nebo cesty obnovy. Ani jedna není automaticky soukromější ve smyslu, který je pro vaše uživatele důležitý.

V obou návrzích zapište, kdo se ke službě dostane, jak se identifikují a co se stane při ztrátě pověření. Odpověď pro onion službu zahrnuje její klíče autorizace klienta a samotnou adresu; odpověď pro VPN zahrnuje účet, zařízení a politiku brány. To jsou různé inventáře a jen jeden z nich bude pro dalšího správce zřejmý.

Srovnání končí tam, kde začíná aplikace. Skrytá adresa a privátní trasa jsou volby transportu a aplikace stále musí rozhodnout, co požadavek smí dělat. Uchovávejte tato rozhodnutí v samostatných dokumentech a ani jeden návrh tiše nepřevezme práci toho druhého.

Související články