A all rhwydwaith rwystro eich VPN heb dorri amgryptiad?

Nid oes angen allwedd sesiwn ar unrhyw weithredwr i stopio twnnel: taflwch y pecynnau ar y llwybr a bydd yn methu, tra bo’r grifftograffeg yn aros mor gryf ag y gwnaeth ei chynllun ei addo. Mae amgryptio’n gwarchod yr hyn y mae sgwrs yn ei gario, nid parodrwydd unrhyw rwydwaith i’w gario. Mae gwahanu’r ddwy nodwedd hynny yn troi dadl am anataliadwyedd yn gwestiwn pa bolisi sydd mewn grym a pha mor bell y mae’n cyrraedd. Mae’r gymhariaeth isod yn cadw argaeledd a chyfrinachedd ar wahân, oherwydd bod y rhan fwyaf o honiadau hyderus am rwystro VPN yn eu huno’n dawel.

Mae cyrhaeddedd yn benderfyniad a wneir gan y llwybr

Mae pob cludiant yn dibynnu ar lwybr sy’n anfon pecynnau ymlaen, ac mae pob cwestiwn polisi yma yn dod i lawr i’r penderfyniad anfon hwnnw. Mae rheol sy’n gollwng pecynnau yn newid argaeledd heb gyffwrdd â chyfrinachedd, a dyna sut y gall twnnel fod wedi’i amgryptio’n ddi-fai ac yn hollol anghyfannodol ar yr un pryd. Nid oes angen torri seiffr na chodi allwedd ar unrhyw ran o’r canlyniad hwnnw. Dim ond rheolaeth dros y llwybr sydd ei hangen.

Mae dryswch fel arfer yn dechrau gyda dwy nodwedd yn rhannu un gair. Mae grifftograffeg gryf yn sôn am bwy all ddarllen ffrwd; nid yw’n dweud dim am a fydd blwch canol yn ei basio. Felly mae angen ail honiad o dan honiad na ellir rhwystro VPN, sef nad oes neb ar y llwybr yn barod i ollwng y pecynnau.

Dulliau gorfodi, a phris pob un

Mae tri dull yn cwmpasu’r rhan fwyaf o bolisïau go iawn, ac maent yn wahanol yn yr hyn y mae’n rhaid iddynt ei wybod, beth y mae’n ei gostio i’w rhedeg a phwy arall sy’n dioddef. Gall pob un ohonynt wrthod twnnel heb ddadgryptio dim. Mae’r gwahaniaethau’n bwysig oherwydd bod yr un gair, rhwystro, yn cael ei ddefnyddio ar gyfer y tri.

Mae’r tabl hwnnw’n fap costau yn hytrach na graddfa. Mae rhestr wahardd yn rhad i’w chychwyn ac yn ddrud i’w chadw’n gywir; mae rhestr ganiatáu yn cyfnewid darganfod am gynnal a chadw’r set a ganiateir, ac nid oes angen unrhyw ddosbarthiad o gwbl ar gaead. Yr hyn sy’n eu gwahanu nid yw soffistigedigrwydd technegol ond ble y mae pob un yn rhoi’r ymdrech barhaus. Mae polisi sy’n edrych yn syml ar bapur fel arfer â llinell gynnal a chadw gudd yn rhywle arall.

Mae rhestr wahardd wedi’i chyfyngu gan ba mor dda y mae cyfeiriad yn enwi gwasanaeth

Mae rhestr wahardd yn gwrthod cyrchfannau sydd eisoes wedi’u hadnabod ac yn gadael y gweddill yn gyffredinol ar gael. I’w gorfodi mae angen cyfeiriadau a phorthladdoedd, nid testun plaen, a dyna sy’n ei gwneud yn rhad i’w gweithredu ar y dechrau. Daw’r gost yn ddiweddarach, oherwydd gall ystod a oedd unwaith yn nodi un darparwr fod yn cynnal dwsin o denantiaid digyswllt wedyn. Mae pob newid cyfeiriad yn gorfodi golygiad o’r rhestr, ac mae pob cofnod hen yn mynd â thraffig diniwed gydag ef.

Mae manylrwydd ar y model hwn wedi’i gyfyngu gan ba mor dda y mae cyrchfan yn adnabod gwasanaeth, ac mae pwynt terfyn a rennir yn brysur yn adnabyddwr gwael. Cyfyngiad strwythurol yw hwn yn hytrach na diffyg gweithredu, felly nid yw offer gwell yn ei ddileu. Mae hefyd yn esbonio pam y mae rhestrau gwahardd yn tueddu i dyfu: mae pob pwynt terfyn newydd yn edrych fel ychwanegiad bach, ac mae’r difrod ochr yn tyfu gyda’r rhestr.

Mae rhestr ganiatáu yn symud y baich cynnal a chadw

Mae rhestr ganiatáu yn gwrthdroi’r rhagosodiad fel mai dim ond y cyrchfannau neu’r mathau o draffig a ddewiswyd ymlaen llaw all basio. Nid oes rhaid iddi restru pob pwynt terfyn gwaherddiedig, sy’n helpu pan fo’r set waharddedig yn fawr neu’n newid yn gyflym. Yr hyn sydd ei hangen arni yn lle hynny yw diffiniad a gynhelir o’r hyn a ganiateir, ynghyd â gorfodi sy’n cyd-fynd â’r diffiniad hwnnw.

Rhifau porthladd yw’r fan wael arferol mewn diffiniad o’r fath. Nid yw caniatáu porthladd yr un peth â nodi pob rhaglen a allai ei ddefnyddio, felly mae rhestr ganiatáu sy’n seiliedig ar borthladdoedd yn aml yn derbyn mwy nag y bwriadodd ei hawdur. Mae ôl-byseddau protocol yn cael yr un broblem o ongl wahanol, oherwydd maent yn nodi siâp traffig yn hytrach na bwriad. Felly nid yw rhestr ganiatáu yn awtomatig yn fwy manwl na rhestr wahardd; mae’n fanwl am rywbeth gwahanol.

Beth y gall un arsylwad ei ategu a beth na all

Dylid darllen unrhyw honiad am rwystro gyda phedwar cwestiwn wrth law: pa rwydweithiau mynediad, pa gyrchfannau, pa brotocolau a pha gyfnod arsylwi. Nid yw methiant a welir heddiw ar un rhwydwaith symudol yn dweud dim am yr un pwynt terfyn yfory o rwydwaith gwahanol. Nid yw twnnel a weithiodd unwaith yn dweud dim am argaeledd parhaus chwaith.

Gellir arsylwi siâp methiant cyn i chi ddamcaniaethu am ei achos. Mae hoeilan dawel, gwrthodiad ar unwaith ac ailosod ar ôl cysylltu yn pwyntio at ddulliau gorfodi gwahanol, ac mae dau orchymyn yn eu gwahanu:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Mae hoeilan sy’n gorffen mewn cyfnod aros yn awgrymu gollwng tawel, mae gwrthodiad cyflym yn awgrymu dyfais wrthodol ar y llwybr, ac mae ailosod ar ôl cysylltu yn awgrymu ymyrraeth â chyflwr yn hytrach na llwybr coll. Arolwg RFC 9505 o dechnegau sensoriaeth yn disgrifio’r pwyntiau rheoli a’r patrymau ymyrryd y tu ôl i’r siapiau hynny. Nid oes yr un ohonynt yn dweud pa mor eang y mae’r polisi’n berthnasol, fodd bynnag. Mae parhauster yn honiad cryfach na chyrhaeddedd: mae pwyntiau terfyn, meddalwedd, polisïau a gwasanaethau a ganiateir i gyd yn newid, felly mae angen tybiaethau am orfodi parhaus ar effeithiolrwydd amhenodol, nid rhestr o gyfeiriadau a welwyd ar un moment.