Porth VPN wedi’i anfon ymlaen: beth all ymwelwyr a’r darparwr ei weld

Mae anfon porth ymlaen yn rhoi llwybr i ddieithriaid at wasanaeth trwy gyfeiriad cyhoeddus y darparwr. Mae'r un newid hwnnw’n effeithio ar amlygiad a chydnabyddiaeth ar yr un pryd, ac nid yw’r naill na’r llall yn cyhoeddi enw pwy bynnag sy’n rhedeg y gwasanaeth. Mae cadw’r ddau ar wahân yn osgoi’r camgymeriadau cyferbyniol o drin anfon ymlaen fel anhysbysrwydd a’i drin fel adnabyddiaeth. Mae tri chwestiwn yn eu gwahanu’n lân, ac mae’r atebion yn dod o dystiolaeth wahanol.

Tri gwrthrych, tri chwestiwn gwahanol

Cadwch y cyfeiriad cyhoeddus ar wahân i’r rhaglen sy’n ateb y tu ôl iddo, a chadwch y ddau ar wahân i’r person neu’r sefydliad sy’n rhedeg y peth. Mae gan bob un ei gynulleidfa a’i dystiolaeth ei hun. Mae eu cymysgu yn cynhyrchu casgliadau sy’n swnio’n daclus ac sy’n anghywir.

Ewch trwyddynt yn y drefn honno. Y cyntaf yw cwestiwn cyrhaeddiad, yr ail yw cwestiwn hunaniaeth y rhaglen, a’r trydydd yw cwestiwn priodoli y mae’r ddau gyntaf ond yn ei oleuo’n rhannol. Pan fydd rhywun yn gofyn a yw anfon porth ymlaen yn breifat, gofynnwch pa un o’r tri y mae’n ei olygu. Mae’r atebion yn wirioneddol wahanol, ac mae tudalen polisi fel arfer yn ymdrin ag un ohonynt yn unig.

Beth all ymwelydd ei gysylltu ar draws penau terfyn

Mae ymwelydd yn cysylltu â’r pen terfyn ac yn gweld beth bynnag y mae’r rhaglen yn ei gyflwyno’n gyfreithlon: enw gwesteiwr, enw tystysgrif, tudalen fewngofnodi, cynnwys cyhoeddedig. Mae'r manylion hynny’n adnabod y gwasanaeth hyd yn oed pan fo ei gyfeiriad mynediad arferol wedi’i guddio y tu ôl i’r tiwnel. Mae dau ben terfyn sy’n cyflwyno’r un safle a enwyd yn rhoi sail i arsylwyr eu cysylltu. Nid oes unrhyw beth yn yr ymddygiad hwnnw’n gollwng gwybodaeth, gan fod y rhaglen wedi'i chynllunio i’w gweld.

Mae cydweddu tystysgrifau, ailgyfeiriadau a chynnwys tudalennau ar draws dau ben terfyn yn arwydd cryf eu bod yn perthyn i un gwasanaeth. Mae’n parhau’n ddatganiad am y gwasanaeth, nid am berson, nes bod rhyw gofnod arall yn cysylltu’r ddau.

Mae canllawiau preifatrwydd IETF yn disgrifio sut mae dynodwyr parhaus yn caniatáu i ryngweithiadau gael eu cydberthyn dros amser. Nid yw cydberthynas yn briodoli, gan y gall sawl person weinyddu un gwasanaeth a gall cyfeiriad symud rhwng tanysgrifwyr di-gysylltiad. Y gwahaniaeth hwnnw sy’n cadw canfyddiad cydberthynas rhag troi’n gyhuddiad.

Beth y mae’r darparwr anfon ymlaen yn gorfod ei wybod

I ddanfon cysylltiad sy’n dod i mewn, rhaid i system y darparwr ddal y berthynas weithredol rhwng y pwynt mynediad cyhoeddus a’r gyrchfan fewnol. Mae'r ffaith weithrediadol honno’n wahanol i’r hyn y mae ymwelydd yn ei weld, ac yn wahanol eto i’r hyn y mae’r darparwr yn dewis ei gadw. Cadwch y ddau gwestiwn ar wahân wrth ddarllen tudalen polisi, oherwydd mae un yn anochel a’r llall yn benderfyniad. Nid yw datganiad na chedwir hanes pori yn dweud dim am hanes mapio.

Mae a yw mapiadau hanesyddol, cysylltiadau cyfrif neu gofnodion cysylltiad yn para yn gwestiwn i bolisi a gweithrediad gwirioneddol y darparwr. Nid yw anfon ymlaen yn profi bod pob categori’n cael ei gofnodi. Gofynnwch yn benodol pa feysydd sy’n goroesi ar ôl i’r mapiad gael ei dynnu’n ôl, ac am ba mor hir.

Mae cyrhaeddiad sy’n dod i mewn hefyd ar wahân i lwybr allan y cleient, DNS ac ymddygiad methiant. Nid yw ychwanegu mapiad yn disgrifio sut y mae gweddill traffig y cleient yn gadael.

Mae pa mor hir y mae’r mapiad yn para yn newid yr amlygiad

Gall mapiad bara am sesiwn, am gadwraeth, neu o dan bolisi darparwr sy’n ei newid. Ni ddylid tybio na phenodiad parhaol na chylchdroi cyson; darllenwch ymddygiad dogfennedig y cynnyrch a chofnodwch yr hyn a arsylwch. Mae'r ddau arsylwad wythnos ar wahân yn dweud mwy am gylchdroi nag unrhyw frawddeg farchnata ar dudalen y cynnyrch. Rhowch yr egwyl a arsylwyd wrth ymyl y pen terfyn yn eich nodiadau, oherwydd mae'r egwyl yn rhan o’r amlygiad.

Mae hyd oes yn newid pa gydberthynas sy’n bosibl. Mae pen terfyn sefydlog yn gwahodd tracio hirdymor un gwasanaeth, tra bo un cylchdroi yn gwneud pob arsylwad yn anos ei gysylltu â’r un blaenorol. Nid yw’r naill briodwedd na’r llall yn warant am gofnodion y darparwr, ac nid yw’r naill yn lle’r penderfyniad am yr hyn y mae’r gwasanaeth ei hun yn ei gyhoeddi.

Cyhoeddwch yn fwriadol, yna caewch y ddau ddrws

Cadarnhewch fod y darparwr yn caniatáu’r protocol sydd ei angen arnoch, mai’r gwrandäwr targed yw’r un a olygasech, a bod rheolaethau gwesteiwr a rhaglen yn dal i gyfyngu mynediad. Cyn cyhoeddi, edrychwch ar yr hyn y bydd y gwasanaeth yn ei gyflwyno i ddieithryn. Mae'r ddau orchymyn hyn yn dangos y dystysgrif a’r penawdau y mae ymwelydd yn eu cael.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Nid yw cyhoeddi rhywbeth yn cyfiawnhau datgelu ei dudalennau gweinyddu na gollwng mewngofnod y rhaglen, ac nid yw cyfieithu yn darparu TLS i wasanaeth nad oedd erioed wedi’i gael. Cadwch y protocol wedi’i amgryptio a’i wiriadau hunaniaeth gweinydd yn eu lle waeth sut y daw’r traffig. Yna gwiriwch benawdau’r ymateb, oherwydd gall baner neu dudalen ddadfygio ddweud mwy wrth ddieithryn nag y mae’r gwasanaeth yn bwriadu. Yr hyn y mae'r ddau orchymyn yn ei ddychwelyd yw’r un olygfa y mae arsylwr yn ei chael.

Mae dod â’r gwasanaeth i ben yn golygu dwy gau, nid un: tynnwch y mapiad yn ôl trwy ei berchennog, yna deliwch â’r gwrandäwr a’r hawl fel eitemau ar wahân. Nid yw pen terfyn sydd mewn nodau tudalen yn rhoi’r gorau i ateb yn dirymu manylion mewngofnodi, ac nid yw’n adfer gwybodaeth a gyflwynwyd eisoes.