Kann ein Netzwerk Ihre VPN blockieren, ohne die Verschlüsselung zu brechen?

Kein Betreiber braucht einen Sitzungsschlüssel, um einen Tunnel zu stoppen: Verwerfen Sie die Pakete auf dem Pfad, und er scheitert, während die Kryptografie genau so stark bleibt, wie es ihr Entwurf versprochen hat. Verschlüsselung schützt das, was ein Gespräch trägt, nicht die Bereitschaft irgendeines Netzwerks, es zu tragen. Die Trennung dieser beiden Eigenschaften macht aus einer Debatte über Unblockierbarkeit die Frage, welche Richtlinie gilt und wie weit sie reicht. Der Vergleich unten hält Verfügbarkeit und Vertraulichkeit getrennt, weil die meisten selbstsicheren Aussagen über VPN-Sperren beides stillschweigend vermischen.

Erreichbarkeit ist eine Entscheidung des Pfades

Jeder Transport hängt von einem Pfad ab, der Pakete weiterleitet, und jede politische Frage hier läuft auf diese Weiterleitungsentscheidung hinaus. Eine Regel, die Pakete verwirft, ändert die Verfügbarkeit, ohne die Vertraulichkeit zu berühren, und so kann ein Tunnel tadellos verschlüsselt und im selben Moment völlig unbrauchbar sein. Nichts an diesem Ergebnis verlangt, eine Chiffre zu brechen oder einen Schlüssel wiederzuerlangen. Es verlangt nur Kontrolle über den Pfad.

Verwirrung beginnt meist damit, dass zwei Eigenschaften sich ein Wort teilen. Starke Kryptografie beantwortet, wer einen Datenstrom lesen kann; sie sagt nichts darüber, ob eine Zwischenstation ihn durchlässt. Die Behauptung, eine VPN lasse sich nicht blockieren, braucht deshalb eine zweite Behauptung darunter, nämlich dass niemand auf dem Pfad bereit ist, die Pakete zu verwerfen.

Durchsetzungsstile und ihr jeweiliger Preis

Drei Stile decken die meisten realen Richtlinien ab, und sie unterscheiden sich darin, was sie wissen müssen, was ihr Betrieb kostet und wer sonst noch leidet. Jeder von ihnen kann einen Tunnel ablehnen, ohne irgendetwas zu entschlüsseln. Die Unterschiede sind wichtig, weil dasselbe Wort, Blockierung, für alle drei verwendet wird.

Diese Tabelle ist eine Kostenkarte, keine Rangfolge. Eine Sperrliste ist billig zu beginnen und teuer genau zu halten; eine Positivliste tauscht Entdeckung gegen Pflege der erlaubten Menge, und eine Abschaltung braucht überhaupt keine Klassifizierung. Was sie trennt, ist nicht technische Raffinesse, sondern wo jeder Stil den laufenden Aufwand platziert. Eine Richtlinie, die auf dem Papier einfach aussieht, hat meist irgendwo anders eine versteckte Wartungsposition.

Eine Sperrliste ist begrenzt dadurch, wie gut eine Adresse einen Dienst benennt

Eine Sperrliste verweigert bereits identifizierte Ziele und lässt den Rest allgemein verfügbar. Zu ihrer Durchsetzung braucht es Adressen und Ports, keinen Klartext, und das macht sie anfangs billig im Betrieb. Die Kosten kommen später, denn ein Bereich, der einst einen Anbieter bezeichnete, kann danach ein Dutzend unabhängige Mieter beherbergen. Jede Adressänderung erzwingt eine Listenänderung, und jeder veraltete Eintrag nimmt unschuldigen Verkehr mit.

Die Präzision ist in diesem Modell begrenzt durch die Frage, wie gut ein Ziel einen Dienst identifiziert, und ein stark ausgelasteter gemeinsamer Endpunkt ist ein schlechter Identifikator. Das ist eine strukturelle Grenze und kein Implementierungsfehler, daher beseitigen bessere Werkzeuge sie nicht. Es erklärt auch, warum Sperrlisten dazu neigen zu wachsen: Jeder neue Endpunkt wirkt wie eine kleine Ergänzung, und der Kollateralschaden wächst mit der Liste.

Eine Positivliste verlagert den Wartungsaufwand

Eine Positivliste kehrt die Voreinstellung um, sodass nur die vorab gewählten Ziele oder Verkehrsarten passieren können. Sie muss nicht jeden verbotenen Endpunkt aufzählen, was hilft, wenn die verbotene Menge groß ist oder sich schnell ändert. Was sie stattdessen braucht, ist eine gepflegte Definition des Erlaubten plus eine Durchsetzung, die zu dieser Definition passt.

Portnummern sind die übliche Schwachstelle einer solchen Definition. Einen Port zu erlauben ist nicht dasselbe wie jede Anwendung zu identifizieren, die ihn nutzen kann, daher lässt eine portbasierte Positivliste oft mehr durch, als ihr Autor beabsichtigt hat. Protokoll-Fingerabdrücke haben dasselbe Problem aus einem anderen Blickwinkel, weil sie eine Form des Verkehrs identifizieren statt eine Absicht. Eine Positivliste ist deshalb nicht automatisch präziser als eine Sperrliste; sie ist präzise in Bezug auf etwas anderes.

Was eine einzelne Beobachtung stützen kann – und was nicht

Jede Aussage über Blockierung sollte mit vier Fragen zur Hand gelesen werden: welche Zugangsnetze, welche Ziele, welche Protokolle und welcher Beobachtungszeitraum. Ein heute in einem Mobilfunknetz beobachteter Ausfall sagt nichts über denselben Endpunkt morgen aus einem anderen Netz. Ein Tunnel, der einmal funktionierte, sagt ebenso wenig über anhaltende Verfügbarkeit.

Die Form eines Ausfalls lässt sich beobachten, bevor Sie über seine Ursache theoretisieren. Ein stilles Hängen, eine sofortige Ablehnung und ein Zurücksetzen nach dem Verbinden deuten auf unterschiedliche Durchsetzungsstile hin, und zwei Befehle trennen sie:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Ein Hängen, das in einem Timeout endet, spricht für stilles Verwerfen, eine schnelle Ablehnung für ein abweisendes Gerät auf dem Pfad und ein Zurücksetzen nach dem Verbinden für zustandsbehaftete Eingriffe statt für eine fehlende Route. Die RFC-9505-Übersicht zu Zensurtechniken beschreibt die Kontrollpunkte und Eingriffsmuster hinter diesen Formen. Keine davon sagt jedoch, wie weit die Richtlinie reicht. Dauerhaftigkeit ist eine stärkere Behauptung als Erreichbarkeit: Endpunkte, Software, Richtlinien und erlaubte Dienste ändern sich alle, sodass unbegrenzte Wirksamkeit Annahmen über fortgesetzte Durchsetzung braucht und keine Liste von Adressen aus einem einzigen Moment.