Η διεύθυνση IP εξόδου VPN δεν αποδεικνύει σήραγγα: τι βλέπουν οι διακομιστές

Κάποιος ζητά μια υπηρεσία στην οποία φτάνουν μόνο χρήστες VPN, και η προφανής υλοποίηση είναι να επιτρέπεται μια λίστα διευθύνσεων εξόδου. Η λίστα κάνει κάτι πραγματικό: περιορίζει ποιος μπορεί να συνδεθεί. Δεν αποδεικνύει ότι χρησιμοποιήθηκε σήραγγα, γιατί η διεύθυνση ανήκει σε όποιον διαχειρίζεται την έξοδο και αυτός ο φορέας μπορεί να προωθήσει την κίνηση οποιουδήποτε. Το χάσμα ανάμεσα σε αυτές τις δηλώσεις είναι όλο το πρόβλημα σχεδιασμού.

Ο διακομιστής βλέπει μία διεύθυνση ανά σύνδεση

Μια σύνδεση φτάνει με διεύθυνση πηγής και θύρα προορισμού, και αυτό είναι το μόνο που αναφέρει το επίπεδο δικτύου. Όταν ένας πελάτης χρησιμοποιεί σήραγγα, τα πακέτα που φτάνουν στον ακροατή σας προέρχονται από την έξοδο ή από τη μετάφραση μπροστά της. Η δική του διεύθυνση, συνήθως ιδιωτική, δεν εμφανίζεται ποτέ. Επομένως ένας κανόνας τείχους προστασίας γραμμένος για το τοπικό εύρος του πελάτη δεν κάνει απολύτως τίποτα.

Ό,τι ακολουθεί αυτή τη διεύθυνση πηγής είναι δεδομένα εφαρμογής, και η εφαρμογή μπορεί να τα εμπιστευτεί μόνο στο βαθμό που τα πιστοποιεί.

Δοκιμάστε πώς μοιάζει η έξοδός σας

Κοιτάξτε τη διαδρομή και από τις δύο άκρες πριν γράψετε κανόνα. Η εικόνα του πελάτη για την έξοδό του και η εικόνα του διακομιστή για τη σύνδεση είναι τα δύο γεγονότα που μετρούν.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Η πρώτη εντολή αναφέρει τη δημόσια διεύθυνση με την οποία εμφανίζεται ο πελάτης, και αυτή είναι η τιμή που πρέπει να περιέχει κάθε λίστα επιτρεπόμενων. Η δεύτερη δείχνει τις εγκατεστημένες συνδέσεις στον διακομιστή με τις διευθύνσεις των ομοτίμων τους, και με αυτό θα ταιριάξει πραγματικά ο κανόνας. Αν τα δύο διαφωνούν με το νοητικό σας μοντέλο, διορθώστε το μοντέλο πριν επεξεργαστείτε την πολιτική. Ένα τείχος προστασίας βάσης δεδομένων στο νέφος, μια λίστα επιτρεπόμενων εφαρμογής και ένας εξισορροπητής φορτίου μπορούν να βλέπουν διαφορετικό επίπεδο μετάφρασης.

Μόνο ένα από τα δύο σύνολα εξόδων μπορεί να καταγραφεί

Η μία περίπτωση ελέγχεται τη στιγμή του αιτήματος και η άλλη όχι, κάτι που παράγει πολύ διαφορετικές εγγυήσεις.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Η δημοσιευμένη λίστα εξόδων Tor μπορεί να ληφθεί και να συγκριθεί, με την επιφύλαξη της ηλικίας της λίστας και της πολιτικής κάθε εξόδου, οπότε ένας κανόνας άρνησης για γνωστές εξόδους είναι εφαρμόσιμος και ελέγξιμος. Δεν υπάρχει αντίστοιχο μητρώο για εμπορικά VPN. Οι διευθύνσεις αλλάζουν, πολλοί πάροχοι δεν δημοσιεύουν τίποτα, και μια σήραγγα μπορεί να τρέχει σε ενοικιασμένη διεύθυνση νέφους που δεν ανήκε ποτέ σε VPN. Η λίστα που συντάσσετε είναι ένα στιγμιότυπο παρατηρημένων διευθύνσεων, και η επέκτασή της σε εύρη φιλοξενίας προσθέτει άσχετους φόρτους χωρίς να προσθέτει απόδειξη.

Χρησιμοποιήστε τις διευθύνσεις ως δεδομένο πολιτικής, όχι ως απόδειξη

Αποφασίστε για ποιον σκοπό υπάρχει ο κανόνας. Ένας περιορισμός δικτύου πρέπει να μένει στενός, να καταγράφει την παρατηρημένη διεύθυνση με ημερομηνία και αιτία, και να δίνει στους νόμιμους χρήστες δρόμο ανάκτησης όταν αλλάζει η έξοδός τους. Ο έλεγχος πρόσβασης χρειάζεται πιστοποιημένο λογαριασμό ή υπογεγραμμένο διακριτικό, γιατί μόνο αυτά συνδέουν ένα αίτημα με ταυτότητα. Η αξιολόγηση κινδύνου μπορεί να χρησιμοποιήσει τη διεύθυνση ως ένα αναξιόπιστο σήμα, δεχόμενη τα ψευδώς θετικά και τις τυφλές κηλίδες του. Το να γράψετε τον κανόνα ως απόφαση προϊόντος είναι έντιμο, το να τον γράψετε ως επαλήθευση ότι υπάρχει σήραγγα δεν είναι.

Το κατοπτρικό αίτημα, η ανάκτηση της πραγματικής διεύθυνσης του χρήστη πίσω από VPN, αποτυγχάνει για τον ίδιο λόγο: μία σύνδεση φέρει μία διεύθυνση, και μια αλλαγή μεταξύ συνεδριών είναι συμβατή με πολλές εξηγήσεις. Αντιμετωπίστε την προηγούμενη τιμή ως ιστορία, όχι ως αλήθεια.