Ĉu reto povas bloki vian VPN sen rompi la ĉifradon?
Ĉifrado protektas la enhavon, ne la transdonon. Komparu nigrajn listojn, blankajn listojn kaj fermojn, poste demandu, kion unu observo efektive povas subteni.
Neniu operatoro bezonas sesian ŝlosilon por haltigi tunelon: forĵetu la pakojn sur la vojo kaj ĝi malsukcesas, dum la kriptografio restas same forta, kiel ĝia dezajno promesis. Ĉifrado protektas tion, kion konversacio portas, ne la volon de iu ajn reto porti ĝin. Disigi tiujn du ecojn transformas diskuton pri neblokeblo en demandon, kiu politiko validas kaj kiom malproksimen ĝi atingas. La komparo sube tenas haveblecon kaj konfidecon aparte, ĉar plej multaj memfidaj asertoj pri VPN-blokado silente kunfandas ilin.
Atingebleco estas decido de la vojo
Ĉiu transporto dependas de vojo, kiu plusendas pakojn, kaj ĉiu politika demando ĉi tie reduktiĝas al tiu plusenda decido. Regulo, kiu forĵetas pakojn, ŝanĝas haveblecon sen tuŝi konfidecon, kaj tiel tunelo povas esti senriproĉe ĉifrita kaj tute neuzebla en la sama momento. Nenio en tiu rezulto postulas rompi ĉifron aŭ reakiri ŝlosilon. Ĝi postulas nur regadon super la vojo.
Konfuzo kutime komenciĝas per du ecoj, kiuj dividas unu vorton. Forta kriptografio klarigas, kiu povas legi fluon; ĝi diras nenion pri tio, ĉu intera aparato trapasigos ĝin. Aserto, ke VPN ne povas esti blokata, do bezonas duan aserton sub si, nome ke neniu sur la vojo pretas forĵeti la pakojn.
Stiloj de plenumado kaj la prezo de ĉiu
Tri stiloj kovras plej multajn realajn politikojn, kaj ili diferencas laŭ tio, kion ili devas scii, kiom kostas ilia funkciado kaj kiu alia suferas. Ĉiu el ili povas rifuzi tunelon sen malĉifri ion ajn. La diferencoj gravas ĉar la sama vorto, blokado, estas uzata por ĉiuj tri.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Tiu tabelo estas kostmapo, ne rangotabelo. Nigra listo estas malmultekosta por komenci kaj multekosta por teni preciza; blanka listo interŝanĝas malkovron kontraŭ prizorgado de la permesita aro, kaj fermo tute ne bezonas klasifikon. Tio, kio disigas ilin, ne estas teknika rafineco sed kie ĉiu el ili metas la daŭran penadon. Politiko, kiu sur papero aspektas simpla, kutime havas kaŝitan prizorgan eron aliloke.
Nigra listo limiĝas per tio, kiom bone adreso nomas servon
Nigra listo rifuzas celojn, kiuj jam estis identigitaj, kaj lasas la ceterajn ĝenerale haveblaj. Por plenumo ĝi bezonas adresojn kaj pordojn, ne klaran tekston, kaj tio igas ĝin malmultekosta funkciigi komence. La kosto venas poste, ĉar gamo, kiu iam identigis unu provizanton, povas poste gastigi dekduon da nerilataj luantoj. Ĉiu adresa ŝanĝo devigas redakti la liston, kaj ĉiu malaktuala ero forportas senkulpajn trafikojn.
Precizo en ĉi tiu modelo limiĝas per tio, kiom bone celo identigas servon, kaj okupata komuna finpunkto estas malbona identigilo. Tio estas struktura limo, ne difekto de efektivigo, do pli bonaj iloj ne forigas ĝin. Ĝi ankaŭ klarigas, kial nigraj listoj inklinas kreski: ĉiu nova finpunkto aspektas kiel malgranda aldono, kaj la flankaj damaĝoj kreskas kun la listo.
Blanka listo translokas la prizorgan ŝarĝon
Blanka listo renversas la defaŭlton tiel, ke nur anticipe elektitaj celoj aŭ trafikaj tipoj povas trapasi. Ĝi ne devas listigi ĉiun malpermesitan finpunkton, kio helpas, kiam la malpermesita aro estas granda aŭ rapide ŝanĝiĝas. Anstataŭe ĝi bezonas prizorgatan difinon de la permesita, plus plenumadon, kiu kongruas kun tiu difino.
Pordaj numeroj estas la kutima malforta punkto en tia difino. Permesi pordon ne samas kiel identigi ĉiun aplikaĵon, kiu povas uzi ĝin, do pordbazita blanka listo ofte akceptas pli, ol ĝia aŭtoro intencis. Protokolaj fingrospuroj havas la saman problemon el alia angulo, ĉar ili identigas formon de trafiko, ne intencon. Blanka listo do ne estas aŭtomate pli preciza ol nigra; ĝi estas preciza pri io alia.
Kion unu observo povas subteni kaj kion ne
Ĉiu aserto pri blokado legiĝu kun kvar demandoj en la mano: kiuj alirretoj, kiuj celoj, kiuj protokoloj kaj kiu observperiodo. Malsukceso vidita hodiaŭ en unu mobila reto diras nenion pri la sama finpunkto morgaŭ el alia reto. Ankaŭ tunelo, kiu funkciis unufoje, diras nenion pri daŭra havebleco.
La formo de malsukceso observeblas antaŭ ol vi teorigi pri ĝia kaŭzo. Silenta barakto, tuja rifuzo kaj restarigo post konekto montras al malsamaj plenumstiloj, kaj du komandoj apartigas ilin:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comBarakto, kiu finiĝas per tempolimo, sugestas silentan forĵeton, rapida rifuzo sugestas rifuzantan aparaton sur la vojo, kaj restarigo post konekto sugestas intervenon kun stato, ne mankan vojon. La RFC 9505 superrigardo de cenzuraj teknikoj priskribas la kontrolpunktojn kaj intervenmodelojn malantaŭ tiuj formoj. Neniu el ili tamen diras, kiom vaste la politiko validas. Daŭro estas pli forta aserto ol atingebleco: finpunktoj, programaro, politikoj kaj permesitaj servoj ĉiuj ŝanĝiĝas, do nefinita efikeco bezonas supozojn pri daŭra plenumado, ne liston de adresoj viditaj en unu momento.