Kion entreprena fajroŝirmilo povas kaj ne povas vidi ene de VPN

La sama tekokomputilo atingas la VPN hejme kaj ne povas konektiĝi el la oficejo, do iu legas la trafikon. Blokado kaj legado estas apartaj potencoj, kaj nur la dua bezonas lokon sur la vojo plus atestilon, kiun la kliento fidas. Perilo, kiu ĵetas vian manpremon, lernis nenion pri tio, kion vi estus sendinta. Decidi, kun kiu el la du vi frontas, estas la tuta tasko.

Blokado kaj legado estas malsamaj potencoj

Rifuzo estas malmultekosta kaj laŭta: la poŝo malfermiĝas kaj nenio respondas, aŭ restarigo alvenas tuj. Nenio el tio implicas inspektadon, ĉar neniu utilŝarĝo transiris la draton.

Legado bezonas finpunkton, kiu finas la protekton, pruvas sin per atestilo kaj komencas novan konekton antaŭen. Tiu finpunkto devas stari sur la vojo kaj esti fidata de la kliento. Fajroŝirmilo, kiu nur plusendas pakaĵojn, havas nek pozicion nek akreditilon.

Kion la envolvaĵo donacas

Ĉiu tunela pakaĵo havas eksteron, kaj la ekstero devas esti enkursigebla. Tio signifas du adresojn, protokolon, pordon kaj longon, plus tempon kaj volumenon. Ĉiu enkursigilo jam traktas tiujn kampojn, kaj NAT reskribas la adreson kaj pordon por teni sian mapadan tabelon kongrua. La utilŝarĝo restas sigelita, do la observado haltas ĉe la fakto, ke tunelo ekzistas inter du gastigantoj.

Gastigantnomo ne estas inter ili. Retejoj likas tra aliaj pordoj, kaj la plej larĝa estas DNS: se la tekokomputilo ankoraŭ demandas la lokan solvilon, la nomoj aperas malkaŝe.

Tempo kaj volumeno meritas respekton sen troigo. Bajtoj en minuto povas montri, ke granda transigo komenciĝas je 14:20; ili ne povas montri, kiu dosiero moviĝis. Tio estas reala malkaŝo pri konduto, kaj alia kategorio ol legi enhavon.

TLS-interkaptado bezonas radikon, kiun vi jam fidas

Inspektanta aparato ne rompas TLS; ĝi finas ĝin. Al la kliento respondas atestilo el radiko, kiun posedas la organizo, kaj dua konekto iras al la reala celloko. La kliento akceptas tion, ĉar tiu radiko sidas en ĝia fida konservejo, kaj tial administrata tekokomputilo montras neniun averton. Kriptografio neniam estis venkita; la finpunkto estis movita.

Tial la aranĝo lasas pruvojn. La eldoninto sur la prezentita ĉeno apartenas al la organizo, ne al publika CA, kaj kliento povas vidi tion sen specialaj iloj. Ĉeno finiĝanta ĉe interna radiko estas la subskribo de interkaptado, ne misfunkcio.

Kial VPN-kanalo ne estas HTTPS-sesio

VPN-data kanalo donas al inspektisto neniun tian apogon. IKEv2 kaj WireGuard rulas proprajn manpremojn kaj ŝlosilajn horarojn, sen TLS por fini, dum OpenVPN prunteprenas TLS por sia rega kanalo en modifita formo antaŭ ol protekti datumojn siapropete. Prokuro konstruita por HTTPS ne rekonas tiun sesion kiel ion, kion ĝi povas analizi.

Aparato, kiu ne povas analizi sesion, tamen povas ĵeti ĝin. Tial VPN-blokado kutime aspektas kiel tempolimo, ne kiel atestila averto, kaj tial escepto ŝanĝas nenion.

Kontrolu el via propra maŝino

Komencu per la ĉeno, kiun la retejo prezentas. Retejaj detaloj en la retumilo montras la eldoninton, kaj la komanda linio raportas la samon sen la resumo:

openssl s_client -connect example.com:443 -servername example.com

Poste apartigu rifuzitan manpremon de filtrita interna trafiko per nombriloj. Registru la transportan pordon antaŭ ajna forĵeta regulo kaj legu ilin post la provo:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Neniu protokola linio ĉe la ekstera poŝo signifas, ke la manpremo neniam eliris, do la vojo rifuzas la tunelon. Kompletigita manpremo kun malsukceso nur ĉe kelkaj cellokoj signifas, ke la tunelo funkcias kaj la politiko interne ne. Neniu el la rezultoj postulis legi biton da utilŝarĝo.

La legado, kiu vere okazas, sidas ĉe la randoj: fendita tunelo transdonas internan HTTPS al entreprena prokuro, kaj koncentrilo posedata de la dunganto elmetas ĉion ĉe la eliro. Kion ajn vi trovas, ne malŝaltu atestilan kontroladon por devigi konekton, ĉar tiu kontrolo estas la sola afero, kiu apartigas inspektadon de atakanto.