Nid yw IP allan VPN yn brawf o dwnnel: beth mae gweinyddwyr yn ei weld

Mae rhywun yn gofyn am wasanaeth na all ond defnyddwyr VPN ei gyrraedd, a’r gweithrediad amlwg yw caniatáu rhestr o gyfeiriadau allan. Mae’r rhestr yn gwneud rhywbeth go iawn: mae’n cyfyngu pwy all gysylltu. Nid yw’n profi bod twnnel wedi’i ddefnyddio, oherwydd mae’r cyfeiriad yn perthyn i bwy bynnag sy’n gweithredu’r allanfa ac mae’r gweithredydd hwnnw’n gallu anfon traffig unrhyw un. Y bwlch rhwng y datganiadau hynny yw’r holl broblem ddylunio.

Mae’r gweinydd yn gweld un cyfeiriad y gysylltiad

Mae cysylltiad yn dod â chyfeiriad ffynhonnell a phorth cyrchfan, a dyna’r cwbl y mae’r haen rwydwaith yn ei adrodd. Pan mae cleient yn defnyddio twnnel, mae’r pecynnau sy’n cyrraedd eich gwrandäwr yn dod o’r allanfa neu o’r cyfieithiad o’i flaen. Nid yw cyfeiriad y cleient ei hun, sy’n breifat fel arfer, byth yn ymddangos. Felly nid yw rheol daearenfil a ysgrifennwyd ar gyfer ystod LAN y cleient yn gwneud dim o gwbl.

Mae popeth ar ôl y cyfeiriad ffynhonnell hwnnw yn ddata cymhwysiad, a dim ond i’r graddau y mae’n ei ddilysu y gall y cymhwysiad ymddiried ynddo.

Profwch sut mae eich allanfa yn edrych

Edrychwch ar y llwybr o’r ddau ben cyn ysgrifennu rheol. Golygfa’r cleient o’i allanfa a golygfa’r gweinydd o’r cysylltiad yw’r ddau ffaith sy’n bwysig.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Mae’r gorchymyn cyntaf yn adrodd y cyfeiriad cyhoeddus y mae’r cleient yn ymddangos fel, a dyna’r gwerth y mae’n rhaid i unrhyw restr ganiatáu ei gynnwys. Mae’r ail yn dangos cysylltiadau sefydledig ar y gweinydd gyda’u cyfeiriadau cyfoed, a dyna y bydd y rheol yn ei gydweddu mewn gwirionedd. Os yw’r ddau yn anghytuno â’ch model meddwl, trwsiwch y model cyn golygu’r polisi. Gall wal dân cronfa ddata cwmwl, rhestr ganiatáu cymhwysiad a chydbwysydd llwyth bob un weld haen gyfieithu wahanol.

Dim ond un o’r ddwy set allanfa y gellir ei rhestru

Mae un achos yn wiriadwy ar foment y cais a’r llall yn anwiriadwy, sy’n cynhyrchu gwarantau gwahanol iawn.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Gellir nôl rhestr allanfeydd Tor a gyhoeddwyd a’i chymharu, yn amodol ar oedran y rhestr a pholisi pob allanfa, felly mae rheol gwrthod yn erbyn allanfeydd hysbys yn orfodadwy ac yn adolygadwy. Nid oes cofrestr gyfatebol ar gyfer VPNau masnachol. Mae cyfeiriadau yn cylchdroi, mae llawer o ddarparwyr yn cyhoeddi dim, a gall twnnel redeg ar gyfeiriad cwmwl rhent sy’n perthyn i VPN erioed. Snapshot o gyfeiriadau a arsylwyd yw’r rhestr rydych yn ei chasglu, ac mae ei hestyn i ystodau lletya yn ychwanegu llwythi di-gysylltiad heb ychwanegu prawf.

Defnyddiwch gyfeiriadau fel mewnbwn polisi, nid fel prawf

Penderfynwch beth yw pwrpas y rheol. Dylai cyfyngiad rhwydwaith aros yn gul, cofnodi’r cyfeiriad a arsylwyd gyda’i ddyddiad a’i reswm, a rhoi llwybr adfer i ddefnyddwyr dilys pan fydd eu hallanfa yn newid. Mae angen cyfrif dilysedig neu docyn llofnodol ar reolaeth mynediad, oherwydd dim ond y rheini sy’n clymu cais i hunaniaeth. Gall sgorio risg ddefnyddio’r cyfeiriad fel un signal annibynadwy, gan dderbyn ei ffug bositifau a’i fannau dall. Mae ysgrifennu’r rheol fel penderfyniad cynnyrch yn onest; nid yw ei hysgrifennu fel dilysiad bod twnnel yn bodoli.

Mae’r cais drych, sef adennill cyfeiriad go iawn y defnyddiwr y tu ôl i VPN, yn methu am yr un rheswm: mae un cysylltiad yn cario un cyfeiriad, ac mae newid rhwng sesiynau yn gyson â sawl esboniad. Triniwch y gwerth cynharach fel hanes, nid fel gwirionedd.