VPN ή διακομιστής μεσολάβησης: τι καλύπτει ο καθένας και τι όχι

Τόσο ένα VPN όσο και ένας πρόσθιος διακομιστής μεσολάβησης αλλάζουν τη διεύθυνση που βλέπει ένας ιστότοπος, και εκεί σταματούν οι περισσότερες συγκρίσεις. Η διαφορά που καθορίζει τη ρύθμισή σας είναι η κάλυψη: ο πρόσθιος διακομιστής μεσολάβησης είναι ένας ενδιάμεσος που η εφαρμογή σας επιλέγει να χρησιμοποιήσει, σε αντίθεση με τον αντίστροφο διακομιστή μεσολάβησης που βρίσκεται μπροστά από έναν ιστότοπο, ενώ το VPN μετακινεί ό,τι δρομολογεί το λειτουργικό σύστημα σε μια σήραγγα. Η κρυπτογράφηση, ο χειρισμός του DNS και η συμπεριφορά αστοχίας προκύπτουν όλα από αυτόν τον διαχωρισμό. Εκτελέστε αυτούς τους πέντε ελέγχους με τη σειρά, και ο πρώτος που αποτυγχάνει θα σας πει ποιο εργαλείο χρειάζεστε πραγματικά.

Ποιες εφαρμογές καλύπτει ο ενδιάμεσος;

Μια επέκταση διακομιστή μεσολάβησης στον περιηγητή ισχύει μόνο για αυτό το προφίλ περιηγητή. Τα προγράμματα αλληλογραφίας, οι διαχειριστές πακέτων και ένας δεύτερος περιηγητής συνεχίζουν με τις δικές τους ρυθμίσεις, και ορισμένες εφαρμογές αγνοούν εντελώς τις μεταβλητές διακομιστή μεσολάβησης του συστήματος. Το VPN καλύπτει ό,τι στέλνει ο πίνακας δρομολόγησης στη σήραγγα, που μπορεί να είναι όλες οι εφαρμογές ή ένα υποσύνολο σε διαχωρισμένη σήραγγα ανάλογα με τις διαδρομές και την πολιτική του πελάτη.

Δοκιμάστε τις εφαρμογές που έχουν σημασία αντί να γενικεύετε από μία φόρτωση σελίδας. Το curl https://ifconfig.me ακολουθεί τις μεταβλητές περιβάλλοντος για τον διακομιστή μεσολάβησης· μια εφαρμογή επιφάνειας εργασίας μπορεί να μην το κάνει. Στα Windows, το netsh winhttp show proxy εκτυπώνει τον διακομιστή μεσολάβησης WinHTTP που χρησιμοποιούν οι υπηρεσίες, και αυτή είναι διαφορετική ρύθμιση από του περιηγητή.

Είναι κρυπτογραφημένο το άλμα, και πού τελειώνει το TLS;

Ένα πρωτόκολλο διακομιστή μεσολάβησης είναι σημείο συνάντησης, όχι εγγύηση. Το SOCKS5 προωθεί το TCP χωρίς κρυπτογράφηση, και ένας απλός διακομιστής μεσολάβησης HTTP μεταφέρει τη γραμμή αιτήματος και τις κεφαλίδες σε καθαρό κείμενο. Το HTTPS μέσω διακομιστή μεσολάβησης χρησιμοποιεί CONNECT, οπότε η συνεδρία TLS σας τερματίζεται ακόμη στον προορισμό και όχι στον διακομιστή μεσολάβησης. Ο οδηγός του MDN για διακομιστές μεσολάβησης και σήραγγες περιγράφει αυτή τη διάκριση από την πλευρά του πρωτοκόλλου.

Ένα VPN κρυπτογραφεί το τμήμα μεταξύ της συσκευής σας και του τελικού του σημείου. Πέρα από το τελικό σημείο ισχύουν οι ίδιοι κανόνες όπως σε οποιοδήποτε άλλο δίκτυο, γι' αυτό μια σήραγγα από μόνη της δεν προστατεύει μια εφαρμογή που στέλνει διαπιστευτήρια μέσω απλού HTTP. Κανένας από τους δύο σχεδιασμούς δεν κρύβει έναν συνδεδεμένο λογαριασμό, ένα cookie ή ένα αποτύπωμα περιηγητή.

curl -v -x http://127.0.0.1:3128 https://example.com/ -o /dev/null
curl -v -x socks5h://127.0.0.1:1080 https://example.com/ -o /dev/null

Η αναλυτική έξοδος δείχνει αν το curl έστειλε CONNECT στη θύρα 443 ή ένα απλό GET με πλήρες URL. Με το socks5h:// το όνομα κεντρικού υπολογιστή δίνεται στον διακομιστή μεσολάβησης μέσα στο αίτημα SOCKS5 και εκείνος προωθεί TLS που δεν μπορεί να διαβάσει, οπότε βλέπει το όνομα και τον αριθμό των byte. Μέσω διακομιστή μεσολάβησης http://, ένα URL https:// είναι CONNECT, οπότε και αυτός βλέπει το όνομα και τον όγκο του προορισμού, αλλά όχι το αίτημα ή το σώμα της απάντησης.

Ποιος επιλυτής βλέπει το όνομα;

Η επίλυση ονομάτων μπορεί να γίνει τοπικά πριν φύγει το αίτημα, ή απομακρυσμένα στον διακομιστή μεσολάβησης. Με το curl, το socks5h:// στέλνει το όνομα στον διακομιστή μεσολάβησης, ενώ το socks5:// το επιλύει πρώτα τοπικά. Οι ρυθμίσεις του περιηγητή προσφέρουν μια συγκρίσιμη επιλογή DNS, και τα αρχεία PAC μπορούν να δρομολογούν διαφορετικούς κεντρικούς υπολογιστές με διαφορετικούς τρόπους.

Δύο πρωτόκολλα μπορούν να παρακάμψουν έναν διακομιστή μεσολάβησης χωρίς καμία λανθασμένη ρύθμιση. Το WebRTC συλλέγει υποψηφίους μέσω STUN, και το QUIC τρέχει HTTP/3 πάνω από UDP, το οποίο ένας διακομιστής μεσολάβησης TCP δεν μπορεί να μεταφέρει. Ο περιηγητής θα επιστρέψει σε TCP αν η θύρα UDP 443 είναι αποκλεισμένη, γι' αυτό ο αποκλεισμός της UDP 443 στο τείχος προστασίας του κεντρικού υπολογιστή (ή στον δρομολογητή για ολόκληρο δίκτυο), και όχι μια σημαία του περιηγητή, είναι ο αξιόπιστος τρόπος να κρατήσετε το HTTP/3 μέσα στη διαδρομή του διακομιστή μεσολάβησης.

Ελέγξτε τον επιλυτή από την οπτική του προορισμού, όχι του φορητού σας. Ένα αίτημα που φτάνει με τη διεύθυνση εξόδου του διακομιστή μεσολάβησης αλλά με τοπικά επιλυμένο όνομα εξακολουθεί να λέει στον τοπικό επιλυτή ποιους ιστότοπους επισκέπτεστε.

Τι συμβαίνει όταν ο ενδιάμεσος αστοχεί;

Ένας ρητός διακομιστής μεσολάβησης αστοχεί κλειστά: σταματήστε τη διεργασία του και ο περιηγητής ή η εφαρμογή επιστρέφει σφάλμα σύνδεσης αντί να πάει απευθείας. Οι ρυθμίσεις PAC και WPAD είναι εκείνες που αστοχούν ανοιχτά - αν το σενάριο δεν μπορεί να ανακτηθεί, ο πελάτης επιστρέφει σε DIRECT και ο ιστότοπος βλέπει ξανά την πραγματική σας διεύθυνση. Ένα VPN μπορεί να αστοχήσει ανοιχτά ή κλειστά ανάλογα με τον πελάτη και αν είναι ενεργός ένας διακόπτης ασφαλείας ή ένας κανόνας τείχους προστασίας.

Δοκιμάστε την περίπτωση αστοχίας σκόπιμα: σταματήστε την υπηρεσία και επαναφορτώστε· αν πάρετε σελίδα σφάλματος αντί για άμεση φόρτωση, δείξτε το URL του PAC σε έναν μη προσβάσιμο κεντρικό υπολογιστή για να δείτε την εναλλακτική. Αν η σελίδα φορτώνει ακόμη από τη συνηθισμένη σας διαδρομή, ο διακομιστής μεσολάβησης δεν προσφέρει καμία προστασία από τη δική του διακοπή, και αυτό είναι μια ιδιότητα που πρέπει να γνωρίζετε πριν βασιστείτε σε αυτόν.

Η σειρά καθορίζει τι βλέπει ο ιστότοπος. Ένας διακομιστής μεσολάβησης του οποίου η εξερχόμενη κίνηση περνά από το VPN αφήνει τον ιστότοπο να βλέπει τη διεύθυνση του τελικού σημείου του VPN· βάλτε τον διακομιστή μεσολάβησης έξω από τη σήραγγα (VPN προς διακομιστή μεσολάβησης σε απομακρυσμένο κεντρικό υπολογιστή) και ο ιστότοπος θα δει αντ' αυτού τη διεύθυνση εξόδου εκείνου. Σε κάθε περίπτωση τα δύο άλματα μπορούν να καταγράφουν διαφορετικά πράγματα.

Πέντε έλεγχοι, με τη σειρά

Η λίστα ελέγχου παρακάτω είναι όλη η απόφαση σε ένα σημείο. Η κάλυψη έρχεται πρώτη επειδή εξαλείφει τις περισσότερες αναντιστοιχίες: αν η εφαρμογή που πρέπει να καλυφθεί δεν σέβεται τη ρύθμιση, τίποτα παρακάτω στη λίστα δεν τη σώζει.

Στη συνέχεια επιβεβαιώστε το αποτέλεσμα με την εφαρμογή που προκάλεσε την αλλαγή. Φορτώστε μια σελίδα στον ρυθμισμένο περιηγητή, ανακτήστε την ίδια σελίδα με το curl και συγκρίνετε τη διεύθυνση που αναφέρει το καθένα. Αν διαφωνούν, κάποια επέκταση, κανόνας PAC ή παράκαμψη σε επίπεδο εφαρμογής εξακολουθεί να δρα, και καμία ρύθμιση σήραγγας δεν θα το διορθώσει.

Καταγράψτε τι ρυθμίσατε: ποιες εφαρμογές χρησιμοποιούν τον διακομιστή μεσολάβησης, αν το DNS είναι τοπικό ή απομακρυσμένο, αν η UDP είναι αποκλεισμένη και ποια είναι η συμπεριφορά αστοχίας. Αυτό το μικρό ευρετήριο είναι που κάνει δυνατή την επόμενη σύγκριση, γιατί το «άλλαξε η IP» δεν σας είπε ποτέ ποιος από αυτούς τους πέντε ελέγχους πέρασε.