Onion-teenus versus VPN-teenus: erinevad juurdepääsumudelid

Inimesed kirjeldavad Onion-teenust ja ainult VPN-i kaudu juurdepääsetavat teenust kui sama idee kahte varianti: peida port, jaga salajast aadressi. Need erinevad selle poolest, millega aadress on seotud, kes sellele pääseb ja mis peab juhtuma enne päringu saabumist. Üks on kokkusaamiskoht Toris, teine on marsruut privaatses võrgus. Nende käsitlemine vahetatavatena loob lahendusi, mis pole ei privaatsed ega hooldatavad.

Müüt: mõlemad lahendused on vaid peidetud uks

Ühüine omadus on tõeline, kuid hõre: kumbki lahendus ei pane haldusliidest otseselt juurdepääsetavale avalikule pordile. Kõik muu lahkneb. Onion-aadress tuletatakse teenuse enda võtmest, seega on nimi seotud identiteediga; VPN-aadress on lihtsalt aadress võrgus, kuhu teid lubati. Üks peidab teenuse ülekattes, teine lubab teid privaatsesse topoloogiasse. Teise käsitlemine esimese sünüümina on segaduse algus.

Kumbki omadus ei ole turvakontroll rakenduse enda jaoks. Peidetud asukoht ei paika selle taga olevat tarkvara ja privaatne marsruut ei lisa sisselogimislehele autentimist. Mõlemad lahendused vajavad endiselt rakenduse enda õigusi ja mõlemad vajavad endiselt kedagi, kes vastutab uuenduste ja taastamise eest.

Millele Onion-aadress tegelikult osutab

Aadress Onion versioonis v3 kodeerib teenuse avaliku võtme, mistõttu ei saa keegi valida aadressi teenusele, mida ta ei kontrolli. Klient ühendub läbi Tori kokkusaamiskohta ja teenus jõuab samasse punkti oma poolelt; ükski tavaline väljumissõlm ei kanna seda ühendust teenuseni. Nimi on identiteet, mitte DNS-kirje.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Seetõttu ei aita marsruudi ega hosts-kirje lisamine onion-nimele midagi. Päring ise ei ole mehhanism; seda on Tori klient ja selle ahelad. Kui teenus on mõeldud väikesele inimrulgale, võib onion-kliendi autoriseerimine nõuda võtit enne ühenduse vastuvõtmist, kuid see ei ole ikkagi rakendusse sisselogimine. Aadressi avaldamine on samuti teadlik tegu, sest igaüks, kes selle teada saab, võib ühendust proovida, kui te pole seda piiranud.

Peatuge, kui onion-lahenduse ainus põhjus on autentimise seadistamise vältimine. Ülekate ei paku seda ja te ehitate selle hiljem niikuinii.

Mida VPN-marsruut tegelikult annab

VPN lubab seadme võrku ja annab sellele marsruudi lüüsini või alavõrguni. Selle lüüsi taga olev teenus näeb aadressi tunnelite basseinist ja rakendab seda autoriseerimist, mis tal on. Marsruut ei ütle midagi selle kohta, kes on kasutaja; see ütleb, kuhu paketid võivad minna.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

See mudel sobib tuntud rühmale hallatavate seadmetega, sest lüüs saab kehtestada seadme seisundi ja võrku saab auditeerida. See sobib halvasti anonüümsteele või juhuslikele külastajatele, kes tuleks esmalt registreerida. Rakenduse enda sisselogimine otsustab endiselt, mida ühendatud kasutaja tohib lugeda. Juurdepääsetavuse segamine loaga on viis, kuidas VPN lõpuks annab terve alavõrgu kõigile, kes saavad ühenduda.

Peatuge, kui sihtrühm on tundmatu või muutub pidevalt. Võõraste registreerimine privaatsesse võrku, et näidata neile üht lehekülge, on suur kohustus võrreldes teenuse avaldamisega.

Valik nende vahel ja mis jääb samaks

Valige onion-mudel, kui sihtrühm on tehniline, teenusel ei tohi üldse olla avalikku aadressi ja saate Tori kliendi nõuetega nõustuda. Valige VPN-mudel, kui sihtrühm on määratletud rühm, mille seadmeid te haldate ja mille juurdepääsu soovite võrgukihis logida. Kumbki valik ei kõrvalda vajadust rakenduse autentimise, paikamise ega taastamistee järele. Kumbki ei ole automaatselt privaatsem selles tähenduses, mis on teie kasutajatele oluline.

Mõlemas lahenduses kirjutage üles, kes pääseb teenusele, kuidas neid tuvastatakse ja mis juhtub volituse kaotamisel. Onion-teenuse vastus hõlmab selle kliendi autoriseerimisvõtmeid ja aadressi enda; VPN-i vastus hõlmab kontot, seadet ja lüüsi poliitikat. Need on erinevad loendid ja ainult üks neist on järgmisele administraatorile ilmne.

Võrdlus lõpeb seal, kus algab rakendus. Peidetud aadress ja privaatne marsruut on transpordivalikud ning rakendus peab endiselt otsustama, mida päringul on lubatud teha. Hoidke need otsused eraldi dokumentides ja kumbki lahendus ei võta vaikselt teise tööd üle.