Beth all mur tân corfforaethol ei weld y tu mewn i VPN a beth na all

Mae’r un gliniadur yn cyrraedd y VPN o gartref ac yn methu cysylltu o’r swyddfa, felly rhaid bod rhywun yn darllen y traffig. Mae rhwystro a darllen yn bwerau ar wahân, a dim ond yr ail sydd angen man ar y llwybr ynghyd â thystysgrif y mae’r cleient yn ymddiried ynddi. Nid yw blwch canol sy’n gollwng eich cydlawsiad wedi dysgu unrhyw beth am yr hyn y byddech wedi’i anfon. Penderfynu pa un o’r ddau yr ydych yn ei wynebu yw’r holl waith.

Mae rhwystro a darllen yn bwerau gwahanol

Mae gwrthodiad yn rhad ac yn uchel: mae’r soced yn agor ac nid oes dim yn ateb, neu mae ailosodiad yn cyrraedd ar unwaith. Nid yw hynny’n awgrymu archwiliad, oherwydd ni chroesodd unrhyw lwyth y wifren.

Mae darllen angen pen draw sy’n terfynu’r amddiffyniad, yn profi ei hun â thystysgrif, ac yn dechrau cysylltiad newydd ymlaen. Rhaid i’r pen draw hwnnw fod ar y llwybr ac ymddiried ynddo gan y cleient. Nid oes gan fur tân sy’n anfon pecynnau ymlaen yn unig na safle na chredyd.

Beth mae’r lapio yn ei roi am ddim

Mae gan bob pecyn twnnel du allan, a rhaid i’r tu allan fod yn llwyadwy. Mae hynny’n golygu dau gyfeiriad, protocol, porth a hyd, ynghyd ag amseru a chyfaint. Mae unrhyw lwybrydd eisoes yn trin y meysydd hynny, ac mae NAT yn ailysgrifennu’r cyfeiriad a’r porth i gadw ei dabl mapio’n gyson. Mae’r llwyth yn aros wedi’i selio, felly mae’r arsylwi’n stopio ar y ffaith bod twnnel yn bodoli rhwng dau westeiwr.

Nid yw enw gwesteiwr ymhlith y rheini. Mae gwefannau’n gollwng drwy ddrysau eraill, a’r ehangaf yw DNS: os yw’r gliniadur yn dal i ofyn i’r datryswr lleol, mae’r enwau’n ymddangos yn glir.

Mae amseru a chyfaint yn haeddu parch heb or-ddweud. Beitau y funud yn gallu dangos bod trosglwyddiad mawr yn dechrau am 14:20; ni allant ddangos pa ffeil a symudodd. Mae hynny’n ddatgeliad gwirioneddol am ymddygiad, ac yn gategori gwahanol i ddarllen cynnwys.

Mae rhyng-gipio TLS angen gwreiddyn yr ydych yn ymddiried ynddo’n barod

Nid yw teclyn archwilio yn torri TLS; mae’n ei derfynu. Atebir y cleient gan dystysgrif o wreiddyn sy’n eiddo i’r sefydliad, ac mae ail gysylltiad yn mynd i’r gyrchfan go iawn. Mae’r cleient yn derbyn hyn oherwydd bod y gwreiddyn hwnnw yn ei storfa ymddiriedaeth, a dyna pam nad yw gliniadur a reolir yn dangos rhybudd. Nid oedd cryptograffeg erioed wedi’i churo; symudwyd y pen draw.

Dyna hefyd pam mae’r trefniant yn gadael tystiolaeth. Mae’r dyroddwr ar y gadwyn a roddir yn perthyn i’r sefydliad yn hytrach nag i CA gyhoeddus, a gall cleient weld hynny heb offer arbennig. Cadwyn sy’n gorffen mewn gwreiddyn mewnol yw llofnod rhyng-gipio, nid camweithrediad.

Pam nad yw sianel VPN yn sesiwn HTTPS

Nid yw sianel ddata VPN yn rhoi unrhyw droedle o’r fath i archwilydd. Mae IKEv2 a WireGuard yn rhedeg eu cydlawsiadau a’u hamserlenni allwedd eu hunain, heb TLS i’w derfynu, tra mae OpenVPN yn benthyg TLS ar gyfer ei sianel reoli ar ffurf addasedig cyn amddiffyn data yn ei ffordd ei hun. Nid yw procsi a adeiladwyd ar gyfer HTTPS yn adnabod y sesiwn honno fel rhywbeth y gall ei dosrannu.

Gall teclyn na all ddosrannu sesiwn ei gollwng o hyd. Dyna pam mae rhwystro VPN fel arfer yn edrych fel goramser yn hytrach na rhybudd tystysgrif, a dyna pam nad yw eithriad yn newid dim.

Gwiriwch o’ch peiriant eich hun

Dechreuwch gyda’r gadwyn y mae’r safle’n ei chyflwyno. Mae manylion y safle yn y porwr yn dangos y dyroddwr, ac mae’r llinell orchymyn yn adrodd yr un peth heb y crynodeb:

openssl s_client -connect example.com:443 -servername example.com

Yna gwahanwch gydlawsiad a wrthodwyd oddi wrth draffig mewnol wedi’i hidlo â chyfrifwyr. Cofnodwch y porth cludo o flaen unrhyw reol gollwng a’u darllen ar ôl yr ymgais:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Nid oes llinell log wrth y soced allanol yn golygu na adawodd y cydlawsiad erioed, felly mae’r llwybr yn gwrthod y twnnel. Mae cydlawsiad wedi’i gwblhau gyda dim ond rhai cyrchfannau’n methu yn golygu bod y twnnel yn gweithio ac nad yw’r polisi y tu mewn iddo yn gwneud. Nid oedd angen darllen beit o lwyth ar gyfer y naill ganlyniad na’r llall.

Mae’r darllen sy’n digwydd mewn gwirionedd yn eistedd ar yr ymylon: mae twnnel hollt yn trosglwyddo HTTPS mewnol i brocsi corfforaethol, ac mae crynodydd sy’n eiddo i gyflogwr yn datgelu popeth wrth yr allfa. Beth bynnag a ddowch o hyd iddo, peidiwch â diffodd dilysu tystysgrif i orfodi cysylltiad, oherwydd y gwiriad hwnnw yw’r unig beth sy’n gwahanu archwiliad oddi wrth ymosodwr.