Kas võrk saab teie VPN-i blokeerida ilma krüpteeringut murdmata?
Krüpteering kaitseb sisu, mitte kohaletoimetamist. Võrrelge blokeerimisnimekirju, lubatud nimekirju ja sulgemisi ning küsige seejärel, mida üks vaatlus tegelikult toetada suudab.
Ükski operaator ei vaja tunneli peatamiseks sessioonivõtit: visake paketid teel kõrvale ja tunnel ebaõnnestub, samal ajal kui krüptograafia jääb täpselt nii tugevaks, nagu selle disain lubas. Krüpteering kaitseb seda, mida vestlus kannab, mitte ühegi võrgu valmisolekut seda kanda. Nende kahe omaduse eraldamine muudab blokeerimatuse vaidluse küsimuseks, milline poliitika kehtib ja kui kaugele see ulatub. Allpool hoitakse kättesaadavust ja konfidentsiaalsust lahus, sest enamik enesekindlaid väiteid VPN-i blokeerimise kohta ühendab need vaikselt.
Kättesaadavus on tee otsus
Iga transport sõltub teest, mis pakette edasi saadab, ja iga poliitikaküsimus siin taandub sellele edastusotsusele. Reegel, mis pakette kõrvale viskab, muudab kättesaadavust ilma konfidentsiaalsust puudutamata, ja nii saab tunnel olla laitmatult krüpteeritud ning samal hetkel täiesti kasutuskõlbmatu. Miski selles tulemuses ei nõua šifri murdmist ega võtme taastamist. See nõuab ainult kontrolli tee üle.
Segadus algab tavaliselt sellest, et kaks omadust jagavad ühte sõna. Tugev krüptograafia ütleb, kes saab voogu lugeda; see ei ütle midagi selle kohta, kas vahepealne seade selle läbi laseb. Väide, et VPN-i ei saa blokeerida, vajab seetõttu enda all teist väidet, nimelt et keegi teel ei ole valmis pakette kõrvale viskama.
Jõustamisstiilid ja nende hind
Kolm stiili katavad enamiku tegelikest poliitikatest ja erinevad selle poolest, mida nad peavad teadma, kui palju nende käitamine maksab ja kes veel kannatab. Igaüks neist võib tunnelile keelduda, ilma midagi dekrüpteerimata. Erinevused on olulised, sest sama sõna, blokeerimine, kasutatakse kõigi kolme kohta.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
See tabel on kulukaart, mitte paremusjärjestus. Blokeerimisnimekiri on odav alustada ja kallis täpsena hoida; lubatud nimekiri vahetab avastamise lubatud hulga hooldamise vastu ja sulgemine ei vaja üldse mingit liigitust. Neid ei eralda tehniline peenus, vaid see, kuhu igaüks pideva vaeva paneb. Poliitikal, mis paberil lihtne paistab, on tavaliselt kuskil mujal peidetud hooldusrida.
Blokeerimisnimekirja piirab see, kui hästi aadress teenust nimetab
Blokeerimisnimekiri keeldub juba tuvastatud sihtkohtadest ja jätab ülejäänud üldiselt kättesaadavaks. Selle jõustamiseks on vaja aadresse ja porte, mitte avateksti, ja see teeb selle algul odavaks. Kulu tuleb hiljem, sest vahemik, mis kunagi üht teenusepakkujat tähistas, võib hiljem majutada tosinat mitteseotud üürnikku. Iga aadressimuudatus sunnib nimekirja muutma ja iga vananenud kirje võtab süütu liikluse kaasa.
Täpsus on selles mudelis piiratud sellega, kui hästi sihtkoht teenust tuvastab, ja hõivatud jagatud lõpp-punkt on halb tuvastaja. See on struktuurne piir, mitte rakendusviga, seega paremad tööriistad seda ei kõrvalda. See selgitab ka, miks blokeerimisnimekirjad kipuvad kasvama: iga uus lõpp-punkt tundub väikese täiendusena ja kõrvalkahju kasvab koos nimekirjaga.
Lubatud nimekiri viib hoolduskoormuse mujale
Lubatud nimekiri pöörab vaikeväärtuse ümber, nii et läbi pääsevad ainult eelnevalt valitud sihtkohad või liikluse tüübid. See ei pea loetlema iga keelatud lõpp-punkti, mis aitab siis, kui keelatud hulk on suur või muutub kiiresti. Selle asemel on tal vaja hooldatavat lubatu määratlust ja sellele määratlusele vastavat jõustamist.
Pordinumbrid on sellises määratluses tavaline nõrk koht. Pordi lubamine ei ole sama, mis iga selle kasutada võiva rakenduse tuvastamine, nii et pordipõhine lubatud nimekiri laseb sageli läbi rohkem, kui selle autor kavatses. Protokolli sõrmejälgedel on sama probleem teise nurga alt, sest need tuvastavad liikluse kuju, mitte kavatsust. Lubatud nimekiri ei ole seega automaatselt täpsem kui blokeerimisnimekiri; see on täpne millegi muu suhtes.
Mida üks vaatlus toetada suudab ja mida mitte
Iga blokeerimisväidet tuleks lugeda nelja küsimusega käes: millised juurdepääsuvõrgud, millised sihtkohad, millised protokollid ja milline vaatlusperiood. Täna ühes mobiilivõrgus nähtud tõrge ei ütle midagi sama lõpp-punkti kohta homme teisest võrgust. Ka üks kord töötanud tunnel ei ütle midagi püsiva kättesaadavuse kohta.
Tõrke kuju saab vaadelda enne, kui selle põhjuse üle teoretiseerida. Vaikne hangumine, kohene keeldumine ja pärast ühendamist toimuv lähtestamine viitavad erinevatele jõustamisstiilidele ning kaks käsku eristavad neid:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comAjalõppmisega lõppev hangumine viitab vaiksele kõrvaleviskamisele, kiire keeldumine teel olevale keelduvale seadmele ja pärast ühendamist toimuv lähtestamine olekuga seotud sekkumisele, mitte puuduvale marsruudile. RFC 9505 tsensuuritehnikate ülevaade kirjeldab kontrollpunkte ja sekkumismustreid nende kujude taga. Kuid ükski neist ei ütle, kui laialt poliitika kehtib. Püsivus on tugevam väide kui kättesaadavus: lõpp-punktid, tarkvara, poliitikad ja lubatud teenused muutuvad kõik, mistõttu tähtajatu tõhusus vajab eeldusi jõustamise jätkumise kohta, mitte ühel hetkel nähtud aadresside loendit.