Blokea dezake sare batek zure VPNa zifratzea hautsi gabe?
Zifratzeak edukia babesten du, ez bidalketa. Konparatu blokeo-zerrendak, baimenduen zerrendak eta itzalaldiak, eta gero galdetu zer onar dezakeen behaketa bakar batek benetan.
Operadore batek ez du saio-giltzarik behar tunel bat geldiarazteko: bota paketeak bidean eta huts egiten du, kriptografia bere diseinuak agindutako bezain sendoa izaten jarraitzen duen bitartean. Zifratzeak elkarrizketa batek daramana babesten du, ez edozein sarek hura eramateko duen borondatea. Bi propietate horiek bereizteak blokeatu ezintasunaren inguruko eztabaida indarrean dagoen politika zein den eta noraino iristen den galdetzeko bihurtzen du. Beheko alderaketak eskuragarritasuna eta konfidentzialtasuna bereizten ditu, VPN blokeoari buruzko ziurtasun handiko baieztapen gehienek isilean batzen dituztelako.
Irisgarritasuna bideak hartutako erabakia da
Garraio bakoitza paketeak birbidaltzen dituen bide baten mende dago, eta hemen politika-galdera oro birbidaltze-erabaki horretara murrizten da. Paketeak botatzen dituen arau batek eskuragarritasuna aldatzen du konfidentzialtasunari ukitu gabe, eta horrela tunel bat zifratze hutsezina eta aldi berean erabat erabil ezina izan daiteke. Emaitza horretan ezerk ez du zifratzaile bat haustea edo giltza bat berreskuratzea eskatzen. Bidearen gaineko kontrola baino ez du eskatzen.
Nahasmendua normalean bi propietatek hitz bat partekatzean hasten da. Kriptografia sendoak fluxu bat nork irakur dezakeen esaten du; ez du ezer esaten tarteko gailu batek hura pasako duen ala ez. Beraz, VPN bat ezin dela blokeatu dioen baieztapenak bigarren baieztapen bat behar du azpian, hots, bidean inor ez dagoela paketeak botatzeko prest.
Betearazpen-estiloak eta bakoitzaren prezioa
Hiru estilok politika erreal gehienak estaltzen dituzte, eta ezberdinak dira zer jakin behar duten, mantentzeak zenbat kostatzen duen eta nor gehiago sufritzen duen. Bakoitzak tunel bat ukatu dezake ezer deszifratu gabe. Aldeak garrantzitsuak dira blokeoa hitz bera hirurentzat erabiltzen delako.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Taula hori kostu-mapa bat da, ez sailkapen bat. Blokeo-zerrenda bat merkea da hasteko eta garestia zehaztasunez mantentzeko; baimenduen zerrendak aurkikuntza trukatzen du baimendutako multzoaren mantentzearen truke, eta itzalaldiak ez du inolako sailkapenik behar. Haiek bereizten dituena ez da sofistikazio teknikoa, bakoitzak ahalegin jarraitua non jartzen duen baizik. Paperean sinplea dirudien politikak mantentze-lerro ezkutu bat izaten du normalean beste nonbait.
Blokeo-zerrenda bat mugatzen du helbide batek zerbitzu bat zenbateraino ondo izendatzen duen
Blokeo-zerrenda batek dagoeneko identifikatutako helmugak ukatzen ditu eta gainerakoak oro har eskuragarri uzten. Hura betearazteko helbideak eta portuak behar dira, ez testu soila, eta horrek merkea egiten du hasieran. Kostua geroago dator, noizbait hornitzaile bat identifikatzen zuen barruti batek dozena bat maizter erlazionagabe ostatatu baititzake gero. Helbide-aldaketa bakoitzak zerrenda editatzera behartzen du, eta sarrera zaharkitu bakoitzak trafiko errugabea eramaten du.
Zehaztasuna eredu honetan mugatzen du helmuga batek zerbitzu bat zenbateraino ondo identifikatzen duen, eta partekatutako amaiera-puntu okupatua identifikatzaile txarra da. Muga estrukturala da, ez inplementazio-akatsa, beraz tresna hobeek ez dute kentzen. Hori ere azaltzen du zergatik blokeo-zerrendek hazteko joera duten: amaiera-puntu berri bakoitzak eranskin txiki bat dirudi, eta kalte paraleloa zerrendarekin batera hazten da.
Baimenduen zerrendak mantentze-lana lekuz aldatzen du
Baimenduen zerrendak lehenetsia alderantzikatzen du, aldez aurretik aukeratutako helmugek edo trafiko motek soilik pasa dezaten. Ez du debekatutako amaiera-puntu bakoitza zerrendatu behar, eta horrek laguntzen du debekatutako multzoa handia denean edo azkar aldatzen denean. Horren ordez baimendutakoaren definizio eguneratu bat behar du, definizio horrekin bat datorren betearazpenarekin batera.
Portu-zenbakiak dira horrelako definizio baten ahulezia ohikoa. Portu bat baimentzea ez da hura erabil dezakeen aplikazio bakoitza identifikatzea, beraz portuetan oinarritutako baimenduen zerrendak askotan egileak nahi baino gehiago onartzen du. Protokolo-aztarnak arazo bera dute beste angelu batetik, trafikoaren forma identifikatzen baitute, ez asmoa. Beraz, baimenduen zerrenda ez da automatikoki blokeo-zerrenda baino zehatzagoa; beste zerbaiti buruz da zehatza.
Zer onar dezakeen behaketa bakar batek eta zer ez
Blokeoari buruzko edozein baieztapen lau galderarekin irakurri behar da eskuan: zein sarbide-sare, zein helmuga, zein protokolo eta zein behaketa-aldi. Gaur sare mugikor batean ikusitako hutsegite batek ezer ez du esaten bihar beste sare batetik amaiera-puntu berari buruz. Behin funtzionatu zuen tunel batek ere ezer ez du esaten iraunkortasunezko eskuragarritasunari buruz.
Hutsegite baten forma bere kausari buruz teorizatu aurretik behatu daiteke. Zintzilikaldi isilak, berehalako ukoak eta konektatu ondorengo berrezarpenak betearazpen-estilo ezberdinetara bideratzen dute, eta bi komandok bereizten dituzte:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comDenbora-mugarekin amaitzen den zintzilikaldiak isileko arbuiatzea iradokitzen du, uko azkarrak bidean ukatzen duen gailu bat, eta konektatu ondorengo berrezarpenak egoerazko interferentzia, falta den ibilbide bat baino. RFC 9505 zentsura-tekniken ikerketa horiek forma horien atzeko kontrol-puntuak eta interferentzia-ereduak deskribatzen ditu. Horietako batek ere ez du esaten politikak zenbateraino balio duen. Iraunkortasuna irisgarritasuna baino baieztapen sendoagoa da: amaiera-puntuak, softwarea, politikak eta baimendutako zerbitzuak denak aldatzen dira, beraz iraupen mugagabeko eraginkortasunak betearazpenak jarraituko duela suposatzen du, une bakarrean ikusitako helbide-zerrenda batek ez bezala.