Mida ettevõtte tulemüür VPN-i sees näeb ja mida mitte

Sama sülearvuti jõuab VPN-i koju ja ei saa kontorist ühendust, seega peab keegi liiklust lugema. Blokeerimine ja lugemine on eraldiseisvad volitused ning ainult teine vajab kohta teekonnal pluss sertifikaati, mida klient usaldab. Vahendaja, mis viskab teie kätlemise ära, ei ole õppinud midagi sellest, mida oleksite saatnud. Otsustada, kumma kahega te kokku puutute, ongi kogu töö.

Blokeerimine ja lugemine on erinevad volitused

Keeldumine on odav ja vali: pesa avaneb ja miski ei vasta, või saabub kohe reset. Miski sellest ei tähenda kontrolli, sest ükski koormus ei ületanud juhet.

Lugemine nõuab lõpp-punkti, mis lõpetab kaitse, tõestab end sertifikaadiga ja alustab edasi uue ühenduse. See punkt peab asuma teekonnal ja olema kliendi poolt usaldatud. Tulemüür, mis ainult pakette edasi saadab, ei oma ei asukohta ega volikirja.

Mida ümbris tasuta ära annab

Igal tunnelipaketil on väliskülg ja see väliskülg peab olema marsruuditav. See tähendab kahte aadressi, protokolli, porti ja pikkust, lisaks aeg ja maht. Iga ruuter töötleb neid välju juba niikuinii ning NAT kirjutab aadressi ja pordi ümber, et hoida oma kaardistustabelit ühtsena. Koormus jääb suletuks, nii et vaatlus lõpeb tõsiasjaga, et kahe hosti vahel on tunnel.

Hostinimi ei ole nende hulgas. Saidid lekitavad teiste uste kaudu ja kõige laiem on DNS: kui sülearvuti küsib endiselt kohalikku resolverit, ilmuvad nimed selgel kujul.

Aeg ja maht väärivad austust, kuid mitte liialdamist. Baiti minutis võivad näidata, et suur ülekanne algab kell 14:20; nad ei näita, milline fail liikus. See on tõeline paljastus käitumise kohta ja teine kategooria kui sisu lugemine.

TLS-i vaheltlõige vajab juurt, mida te juba usaldate

Kontrolliv seade ei murra TLS-i; see lõpetab selle. Kliendile vastab sertifikaat juurest, mille organisatsioon omab, ja teine ühendus läheb päris sihtkohta. Klient nõustub sellega, sest see juur asub tema usaldushoidlas, mistõttu hallatav sülearvuti hoiatust ei näita. Krüptograafiat ei võidetud kunagi; lõpp-punkt viidi mujale.

Seetõttu jätab see korraldus ka tõendeid. Esitatud ahela väljaandja kuulub organisatsioonile, mitte avalikule CA-le, ja klient näeb seda ilma eritööriistadeta. Ahel, mis lõpeb sisemises juures, on vaheltlõike allkiri, mitte rike.

Miks VPN-i kanal ei ole HTTPS-i sessioon

VPN-i andmekanal ei anna kontrollijale sellist tugipunkti. IKEv2 ja WireGuard jooksutavad oma kätlemisi ja võtmeplaane, ilma TLS-ita, mida lõpetada, samas kui OpenVPN laenab TLS-i oma juhtkanali jaoks muudetud kujul, enne kui kaitseb andmeid omal moel. HTTPS-i jaoks ehitatud puhverserver ei tunne seda sessiooni ära millegi sellisena, mida ta saaks parsida.

Seade, mis ei suuda sessiooni parsida, võib selle ikkagi ära visata. Seetõttu näeb VPN-i blokeerimine tavaliselt välja nagu aegumine, mitte nagu sertifikaadi hoiatus, ja seetõttu ei muuda erand midagi.

Kontrollige oma masinast

Alustage ahelast, mille sait esitab. Brauseri saidi üksikasjad näitavad väljaandjat ja käsurida teatab sama ilma kokkuvõtteta:

openssl s_client -connect example.com:443 -servername example.com

Seejärel eraldage loenduritega tagasilükatud kätlemine filtreeritud sisemisest liiklusest. Logige transpordiport enne mis tahes langetamisreeglit ja lugege neid pärast katset:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ükski logirida välises pesas ei tähenda, et kätlemine kunagi välja ei läinud, seega tee keeldub tunnelist. Lõpetatud kätlemine, kus ainult mõned sihtkohad ebaõnnestuvad, tähendab, et tunnel töötab ja seesmine poliitika mitte. Kumbki tulemus ei nõudnud koormuse baidi lugemist.

Lugemine, mis tegelikult toimub, asub servades: poolitatud tunnel annab sisemise HTTPS-i ettevõtte puhverserverile ja tööandjale kuuluv koondaja paljastab väljumisel kõik. Mida iganes te leiate, ärge lülitage sertifikaadi kontrolli välja, et ühendust peale suruda, sest see kontroll on ainus, mis eraldab kontrolli ründajast.