فایروال سازمانی درون VPN چه چیزهایی را می‌تواند ببیند و چه چیزهایی را نه

همان لپ‌تاپ از خانه به VPN می‌رسد و از دفتر نمی‌تواند وصل شود، پس کسی باید ترافیک را بخواند. مسدود کردن و خواندن دو قدرت جدا هستند و تنها دومی به جایی روی مسیر به‌علاوه گواهی‌ای نیاز دارد که کلاینت به آن اعتماد کند. جعبه میانی‌ای که دست‌دادن شما را دور می‌ریزد هیچ چیزی درباره آنچه می‌فرستادید یاد نگرفته است. تشخیص اینکه با کدام‌یک از این دو روبه‌رو هستید تمام کار است.

مسدود کردن و خواندن دو قدرت متفاوت‌اند

رد کردن ارزان و پرسروصداست: سوکت باز می‌شود و هیچ‌چیز پاسخ نمی‌دهد، یا بلافاصله یک بازنشانی می‌رسد. هیچ‌یک از این‌ها به معنای بازرسی نیست، چون هیچ بار داده‌ای از سیم عبور نکرد.

خواندن به نقطه پایانی نیاز دارد که حفاظت را پایان دهد، خود را با گواهی اثبات کند و اتصال تازه‌ای به جلو آغاز کند. آن نقطه باید روی مسیر باشد و کلاینت به آن اعتماد کند. فایروالی که فقط بسته‌ها را جلو می‌فرستد نه جایگاه دارد و نه اعتبارنامه.

آنچه پوشش رایگان لو می‌دهد

هر بسته تونل یک بیرون دارد و بیرون باید قابل مسیریابی باشد. این یعنی دو نشانی، یک پروتکل، یک درگاه و یک طول، به‌علاوه زمان‌بندی و حجم. هر مسیریابی از قبل این فیلدها را اداره می‌کند و NAT نشانی و درگاه را بازنویسی می‌کند تا جدول نگاشتش سازگار بماند. بار داده مهروموم می‌ماند، پس مشاهده در این واقعیت متوقف می‌شود که تونلی میان دو میزبان وجود دارد.

نام میزبان در میان آن‌ها نیست. سایت‌ها از درهای دیگر نشت می‌کنند و پهن‌ترین در، DNS است: اگر لپ‌تاپ هنوز از حل‌کننده محلی می‌پرسد، نام‌ها آشکارا پیدا می‌شوند.

زمان‌بندی و حجم شایسته احترام‌اند، بی‌آنکه اغراق شوند. بایت در دقیقه می‌توانند نشان دهند که انتقالی بزرگ در 14:20 آغاز می‌شود؛ نمی‌توانند نشان دهند کدام فایل جابه‌جا شد. این افشای واقعی درباره رفتار است و دسته‌ای متفاوت از خواندن محتوا.

شنود TLS به ریشه‌ای نیاز دارد که از قبل به آن اعتماد دارید

دستگاه بازرسی TLS را نمی‌شکند؛ آن را پایان می‌دهد. به کلاینت گواهی‌ای از ریشه‌ای پاسخ می‌دهد که سازمان مالک آن است و اتصال دومی به مقصد واقعی می‌رود. کلاینت این را می‌پذیرد چون آن ریشه در مخزن اعتمادش نشسته است و به همین دلیل لپ‌تاپ مدیریت‌شده هیچ هشداری نشان نمی‌دهد. رمزنگاری هرگز شکست نخورد؛ نقطه پایانی جابه‌جا شد.

به همین دلیل این چیدمان شواهد باقی می‌گذارد. صادرکننده در زنجیره ارائه‌شده به سازمان تعلق دارد نه به CA عمومی، و کلاینت می‌تواند آن را بدون ابزار ویژه ببیند. زنجیره‌ای که به ریشه داخلی ختم می‌شود امضای شنود است، نه نقص.

چرا کانال VPN یک نشست HTTPS نیست

کانال داده VPN چنین جای پایی به بازرس نمی‌دهد. IKEv2 و WireGuard دست‌دادن و برنامه‌های کلید خود را اجرا می‌کنند، بدون TLS برای پایان دادن، در حالی که OpenVPN برای کانال کنترلی خود TLS را به شکلی تغییریافته قرض می‌گیرد و سپس داده‌ها را به شیوه خودش حفاظت می‌کند. پراکسی‌ای که برای HTTPS ساخته شده آن نشست را به‌عنوان چیزی که بتواند تجزیه کند نمی‌شناسد.

دستگاهی که نمی‌تواند نشستی را تجزیه کند باز هم می‌تواند آن را بیندازد. به همین دلیل مسدودسازی VPN معمولاً شبیه مهلت تمام‌شده است نه هشدار گواهی، و به همین دلیل یک استثنا هیچ چیزی را تغییر نمی‌دهد.

بررسی از دستگاه خودتان

با زنجیره‌ای که سایت ارائه می‌دهد آغاز کنید. جزئیات سایت در مرورگر صادرکننده را نشان می‌دهد و خط فرمان همان را بدون خلاصه گزارش می‌کند:

openssl s_client -connect example.com:443 -servername example.com

سپس با شمارنده‌ها دست‌دادن ردشده را از ترافیک درونی فیلترشده جدا کنید. درگاه انتقال را پیش از هر قاعده انداختن ثبت کنید و پس از تلاش آن‌ها را بخوانید:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

نبود هر خط گزارش در سوکت بیرونی یعنی دست‌دادن هرگز بیرون نرفت، پس مسیر تونل را رد می‌کند. دست‌دادن کامل با شکست فقط برخی مقصدها یعنی تونل کار می‌کند و سیاست درونش نه. هیچ‌یک از دو نتیجه نیازی به خواندن یک بایت از بار داده نداشت.

خواندنی که واقعاً رخ می‌دهد در لبه‌هاست: تونل شکافته HTTPS درونی را به پراکسی سازمانی می‌سپارد و متمرکزکننده‌ای در مالکیت کارفرما همه چیز را در خروجی آشکار می‌کند. هر چه یافتید، تأیید گواهی را برای تحمیل اتصال غیرفعال نکنید، چون آن بررسی تنها چیزی است که بازرسی را از یک مهاجم جدا می‌کند.