Hvad en virksomhedsfirewall kan og ikke kan se inde i en VPN

Den samme bærbare computer når VPN’en hjemmefra og kan ikke forbinde fra kontoret, så nogen må læse trafikken. Blokering og læsning er adskilte beføjelser, og kun den anden kræver et sted på vejen plus et certifikat, som klienten stoler på. En mellemboks, der smider dit håndtryk væk, har ikke lært noget om, hvad du ville have sendt. At afgøre, hvilken af de to du står over for, er hele opgaven.

Blokering og læsning er forskellige beføjelser

En afvisning er billig og højlydt: socket’en åbner, og intet svarer, eller også kommer der et reset med det samme. Intet af det betyder inspektion, fordi ingen nyttelast krydsede ledningen.

Læsning kræver et endepunkt, der afslutter beskyttelsen, beviser sig med et certifikat og starter en ny forbindelse videre. Det endepunkt skal ligge på vejen og være betroet af klienten. En firewall, der kun videresender pakker, har hverken placering eller legitimationsoplysninger.

Hvad indpakningen forærer væk

Hver tunnelpakke har en yderside, og ydersiden skal være rutbar. Det betyder to adresser, en protokol, en port og en længde plus timing og volumen. Enhver router håndterer allerede de felter, og en NAT omskriver adressen og porten for at holde sin mappetabel konsistent. Nyttelasten forbliver forseglet, så observationen stopper ved, at der findes en tunnel mellem to værter.

Et værtsnavn er ikke blandt dem. Websteder lækker gennem andre døre, og den bredeste er DNS: hvis den bærbare stadig spørger den lokale resolver, står navnene i klartekst.

Timing og volumen fortjener respekt uden at blive overgjort. Bytes i minuttet kan vise, at en stor overførsel starter klokken 14:20; de kan ikke vise, hvilken fil der flyttede sig. Det er en reel afsløring om adfærd og en anden kategori end at læse indhold.

TLS-aflytning kræver en rod, du allerede stoler på

Et inspektionsapparat bryder ikke TLS; det afslutter det. Klienten får svar med et certifikat fra en rod, organisationen ejer, og en anden forbindelse går til den rigtige destination. Klienten accepterer det, fordi den rod ligger i dens tillidslager, og derfor viser en administreret computer ingen advarsel. Kryptografi blev aldrig besejret; endepunktet blev flyttet.

Det er også derfor arrangementet efterlader beviser. Udstederen på den fremviste kæde tilhører organisationen og ikke en offentlig CA, og en klient kan se det uden særligt værktøj. En kæde, der ender i en intern rod, er signaturen på aflytning, ikke en fejl.

Hvorfor en VPN-kanal ikke er en HTTPS-session

En VPN-datakanal giver en inspektør sådant fodfæste. IKEv2 og WireGuard kører deres egne håndtryk og nøgleplaner uden TLS at afslutte, mens OpenVPN låner TLS til sin kontrolkanal i en ændret form, før det beskytter data på sin egen måde. En proxy bygget til HTTPS genkender ikke den session som noget, den kan parse.

Et apparat, der ikke kan parse en session, kan stadig smide den væk. Derfor ligner VPN-blokering normalt en timeout i stedet for en certifikatadvarsel, og derfor ændrer en undtagelse intet.

Tjek det fra din egen maskine

Start med den kæde, webstedet fremviser. Browserens webstedsdetaljer viser udstederen, og kommandolinjen rapporterer det samme uden opsummeringen:

openssl s_client -connect example.com:443 -servername example.com

Skil derefter et afvist håndtryk fra filtreret indre trafik med tællere. Log transportporten foran enhver drop-regel, og læs dem efter forsøget:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ingen loglinje på den ydre socket betyder, at håndtrykket aldrig forlod maskinen, så vejen afviser tunnelen. Et fuldført håndtryk, hvor kun nogle destinationer fejler, betyder, at tunnelen virker, og at politikken indeni ikke gør. Ingen af resultaterne krævede at læse en byte nyttelast.

Den læsning, der faktisk sker, sidder i kanterne: en split tunnel giver intern HTTPS til en virksomhedsproxy, og en koncentrator ejet af arbejdsgiveren blotlægger alt ved udgangen. Uanset hvad du finder, må du ikke slå certifikatverifikation fra for at fremtvinge en forbindelse, for den kontrol er det eneste, der skiller inspektion fra en angriber.