Kan et netværk blokere din VPN uden at bryde krypteringen?
Kryptering beskytter indhold, ikke levering. Sammenlign blokeringslister, tilladelseslister og nedlukninger, og spørg så, hvad en enkelt observation egentlig kan understøtte.
Ingen operatør har brug for en sessionsnøgle for at stoppe en tunnel: kassér pakkerne på stien, og den fejler, mens kryptografien forbliver præcis så stærk, som dens design lovede. Kryptering beskytter det, en samtale bærer, ikke villigheden i et givent netværk til at bære det. At skille disse to egenskaber ad gør en diskussion om ublokerbarhed til et spørgsmål om, hvilken politik der er i kraft, og hvor langt den rækker. Sammenligningen nedenfor holder tilgængelighed og fortrolighed adskilt, fordi de fleste selvsikre påstande om VPN-blokering stille smelter dem sammen.
Tilgængelighed er en beslutning, stien træffer
Enhver transport afhænger af en sti, der videresender pakker, og ethvert politisk spørgsmål her reduceres til den videresendelsesbeslutning. En regel, der kasserer pakker, ændrer tilgængeligheden uden at røre fortroligheden, og det er sådan, en tunnel kan være upåklageligt krypteret og fuldstændig ubrugelig i samme øjeblik. Intet ved det udfald kræver at bryde en cifr eller gendanne en nøgle. Det kræver kun kontrol over stien.
Forvirring starter normalt med, at to egenskaber deler ét ord. Stærk kryptografi handler om, hvem der kan læse en strøm; den siger intet om, hvorvidt en mellemledsboks vil føre den igennem. Påstanden om, at en VPN ikke kan blokeres, kræver derfor en anden påstand under sig, nemlig at ingen på stien er villig til at kassere pakkerne.
Håndhævelsesstile og prisen for hver
Tre stile dækker de fleste virkelige politikker, og de adskiller sig i, hvad de skal vide, hvad de koster at drive, og hvem ellers der lider. Hver af dem kan afvise en tunnel uden at dekryptere noget. Forskellene betyder noget, fordi det samme ord, blokering, bruges om alle tre.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Tabellen er et omkostningskort, ikke en rangliste. En blokeringsliste er billig at starte og dyr at holde nøjagtig; en tilladelsesliste bytter opdagelse for vedligeholdelse af det tilladte sæt, og en nedlukning kræver slet ingen klassificering. Det, der adskiller dem, er ikke teknisk raffinement, men hvor hver af dem lægger den løbende indsats. En politik, der ser enkel ud på papiret, har som regel en skjult vedligeholdelsespost et andet sted.
En blokeringsliste begrænses af, hvor godt en adresse navngiver en tjeneste
En blokeringsliste afviser destinationer, der allerede er identificeret, og lader resten være generelt tilgængelige. At håndhæve den kræver adresser og porte, ikke klartekst, og det er, hvad der gør den billig at drive i starten. Omkostningen kommer senere, fordi et interval, der engang identificerede én udbyder, kan ende med at hoste et dusin uvedkommende lejere. Hver adresseændring tvinger en listenedring, og hver forældet post tager uskyldig trafik med sig.
Præcision er på denne model begrænset af, hvor godt en destination identificerer en tjeneste, og et travlt delt endepunkt er en dårlig identifikator. Det er en strukturel grænse og ikke en implementeringsfejl, så bedre værktøjer fjerner den ikke. Det forklarer også, hvorfor blokeringslister har tendens til at vokse: hvert nyt endepunkt ser ud som en lille tilføjelse, og følgeskaderne vokser med listen.
En tilladelsesliste flytter vedligeholdelsesbyrden
En tilladelsesliste vender standarden, så kun de på forhånd valgte destinationer eller trafiktyper kan passere. Den behøver ikke at opregne hvert forbudt endepunkt, hvilket hjælper, når det forbudte sæt er stort eller ændrer sig hurtigt. Det, den har brug for i stedet, er en vedligeholdt definition af, hvad der er tilladt, plus håndhævelse, der passer til den definition.
Portnumre er det sædvanlige svage punkt i en sådan definition. At tillade en port er ikke det samme som at identificere enhver applikation, der kan bruge den, så en portbaseret tilladelsesliste slipper ofte mere igennem, end dens forfatter havde tænkt. Protokol-fingeraftryk har samme problem fra en anden vinkel, fordi de identificerer en trafikform frem for en hensigt. En tilladelsesliste er derfor ikke automatisk mere præcis end en blokeringsliste; den er præcis om noget andet.
Hvad en enkelt observation kan og ikke kan understøtte
Enhver påstand om blokering bør læses med fire spørgsmål ved hånden: hvilke adgangsnetværk, hvilke destinationer, hvilke protokoller og hvilken observationsperiode. En fejl, der ses i dag på ét mobilnetværk, siger intet om det samme endepunkt i morgen fra et andet netværk. En tunnel, der virkede én gang, siger heller intet om vedvarende tilgængelighed.
En fejls form kan observeres, før du teoretiserer om dens årsag. Et tavst hang, en øjeblikkelig afvisning og et reset efter forbindelse peger på forskellige håndhævelsesstile, og to kommandoer skelner dem:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comEt hang, der ender i en timeout, tyder på tavs kassering, en hurtig afvisning tyder på en afvisende enhed på stien, og et reset efter forbindelse tyder på tilstandsfuld indgriben frem for en manglende rute. RFC 9505-undersøgelsen af censurteknikker beskriver kontrolpunkterne og indgrebsmønstrene bag disse former. Ingen af dem fortæller dog, hvor bredt politikken gælder. Varighed er en stærkere påstand end tilgængelighed: endepunkter, software, politikker og tilladte tjenester ændrer sig alle, så ubestemt effektivitet kræver antagelser om fortsat håndhævelse frem for en liste af adresser set på ét tidspunkt.