VPN irteerako IPa ez da tunel baten froga: zer ikusten duten zerbitzariek

Norbaitek VPN erabiltzaileek soilik irits dezaketen zerbitzu bat eskatzen du, eta inplementazio begi-bistakoa irteerako helbideen zerrenda bat baimentzea da. Zerrendak zerbait erreala egiten du: nork konektatu dezakeen mugatzen du. Ez du frogatzen tunel bat erabili zenik, helbidea irteera kudeatzen duenarena delako, eta operadore horrek edonoren trafikoa birbidali dezakeelako. Bi baieztapen horien arteko aldea diseinu arazo osoa da.

Zerbitzariak helbide bat ikusten du konexio bakoitzeko

Konexio bat jatorrizko helbide batekin eta helmugako ataka batekin iristen da, eta sare geruzak hori baino ez du jakinarazten. Bezeroak tunel bat erabiltzen duenean, zure entzulearengana iristen diren paketeak irteeratik edo haren aurreko itzulpenetik datoz. Bezeroaren beraren helbidea, normalean pribatua, ez da inoiz agertzen. Beraz, bezeroaren LAN barrutirako idatzitako suebaki arau batek ez du ezer egiten.

Jatorrizko helbide horren ondoren dagoen guztia aplikazioaren datua da, eta aplikazioak hura autentifikatzen duen heinean soilik fidatu daiteke hartaz.

Probatu nola ikusten den zure irteera

Begiratu bidea bi muturretatik araua idatzi aurretik. Bezeroak bere irteerari buruz duen ikuspegia eta zerbitzariak konexioari buruz duena dira axola duten bi datuak.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Lehen komandoak bezeroa agertzen den helbide publikoa jakinarazten du, eta hori da baimenduen zerrenda orok eduki behar duen balioa. Bigarrenak zerbitzariko ezarritako konexioak erakusten ditu haien pareko helbideekin, eta horrekin bat etorriko da araua benetan. Biak zure buru-ereduarekin bat ez badatoz, zuzendu eredua politika editatu aurretik. Hodeiko datu-base baten suebakiak, aplikazio baten baimenduen zerrendak eta karga-balantzatzaile batek itzulpen geruza desberdina ikus dezakete bakoitzak.

Bi irteera multzoetariko bat soilik zerrenda daiteke

Kasu bat eskaeraren unean egiazta daiteke eta bestea ez, eta horrek oso berme desberdinak ematen ditu.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Tor irteeren argitaratutako zerrenda eskuratu eta alderatu daiteke, zerrendaren adinaren eta irteera bakoitzaren politikaren arabera, beraz irteera ezagunen aurkako ukatze araua aplikagarria eta berrikusgarria da. Ez dago baliokide den erregistrorik VPN komertzialetarako. Helbideak aldatzen dira, hornitzaile askok ez dute ezer argitaratzen, eta tunel bat inoiz VPN bati pertenezu ez zitzaion hodeiko helbide alokatu batean ibil daiteke. Zuk osatzen duzun zerrenda behatutako helbideen argazki bat da, eta hosting barrutietara zabaltzeak loturarik gabeko lan-kargak gehitzen ditu frogarik gehitu gabe.

Erabili helbideak politika-sarrera gisa, ez frogatzat

Erabaki zertarako den araua. Sare murrizketak estu egon behar du, behatutako helbidea data eta arrazoiarekin erregistratu, eta erabiltzaile legitimei berreskuratze bidea eman haien irteera aldatzen denean. Sarbide kontrolak autentifikatutako kontu bat edo sinatutako token bat behar du, horiek bakarrik lotzen dutelako eskaera identitate bati. Arriskuen puntuazioak helbidea seinale fidagarri bakartzat erabil dezake, haren faltsu positiboak eta puntu itsuak onartuz. Araua produktu-erabaki gisa idaztea zintzoa da; tunel bat badagoela egiaztatze gisa idaztea ez da.

Ispilu eskaerak, VPN baten atzean erabiltzailearen benetako helbidea berreskuratzeak, arrazoi beragatik huts egiten du: konexio batek helbide bat darama, eta saioen arteko aldaketa hainbat azalpenekin bateragarria da. Hartu aurreko balioa historiatzat, ez egiazkotzat.