Voiko verkko estää VPN:si murtamatta salausta?
Salaus suojaa sisältöä, ei toimitusta. Vertaa estolistoja, sallittujen listoja ja katkoksia ja kysy sitten, mitä yksi havainto voi todella tukea.
Yksikään operaattori ei tarvitse istuntoavainta pysäyttääkseen tunnelin: pudota paketit reitiltä ja se epäonnistuu, kun taas salaus pysyy täsmälleen niin vahvana kuin sen suunnittelu lupasi. Salaus suojaa sitä, mitä keskustelu kuljettaa, ei minkään verkon halukkuutta kuljettaa sitä. Näiden kahden ominaisuuden erottaminen muuttaa väittelyn estämättömyydestä kysymykseksi siitä, mikä käytäntö on voimassa ja kuinka kauas se ulottuu. Alla oleva vertailu pitää saatavuuden ja luottamuksellisuuden erillään, koska useimmat varmat väitteet VPN:n estämisestä sulauttavat ne hiljaa yhteen.
Tavoitettavuus on reitin tekemä päätös
Jokainen kuljetus riippuu reitistä, joka välittää paketteja, ja jokainen käytäntökysymys tässä palautuu tuohon välityspäätökseen. Sääntö, joka pudottaa paketteja, muuttaa saatavuutta koskematta luottamuksellisuuteen, ja juuri niin tunneli voi olla virheettömästi salattu ja täysin käyttökelvoton samalla hetkellä. Mikään tuossa tuloksessa ei vaadi salauksen murtamista tai avaimen palauttamista. Se vaatii vain reitin hallintaa.
Sekaannus alkaa yleensä siitä, että kaksi ominaisuutta jakaa yhden sanan. Vahva salaus kertoo, kuka voi lukea virran; se ei kerro mitään siitä, päästääkö välilaite sen läpi. Väite, ettei VPN:tä voi estää, tarvitsee siksi alleen toisen väitteen, nimittäin sen, ettei kukaan reitillä ole halukas pudottamaan paketteja.
Toteutustyylit ja kunkin hinta
Kolme tyyliä kattaa useimmat todelliset käytännöt, ja ne eroavat siinä, mitä niiden on tiedettävä, mitä niiden ylläpito maksaa ja kuka muu kärsii. Jokainen voi hylätä tunnelin purkamatta mitään. Erot ovat merkityksellisiä, koska sama sana, estäminen, on käytössä kaikissa kolmessa.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Taulukko on kustannuskartta, ei paremmuusjärjestys. Estolista on halpa aloittaa ja kallis pitää tarkkana; sallittujen lista vaihtaa löytämisen sallitun joukon ylläpitoon, eikä katkos tarvitse lainkaan luokittelua. Niitä ei erota tekninen hienostuneisuus vaan se, mihin kukin sijoittaa jatkuvan vaivan. Paperilla yksinkertaiselta näyttävällä käytännöllä on yleensä jossain muualla piilotettu ylläpitorivi.
Estolistaa rajaa se, kuinka hyvin osoite nimeää palvelun
Estolista hylkää kohteet, jotka on jo tunnistettu, ja jättää muut yleisesti saataville. Sen toteuttaminen vaatii osoitteita ja portteja, ei selkokielistä tekstiä, ja juuri siksi se on aluksi halpa ylläpitää. Kustannus tulee myöhemmin, koska alue, joka kerran yksilöi yhden palveluntarjoajan, voi myöhemmin majoittaa tusinan toisiinsa liittymättömiä vuokralaisia. Jokainen osoitteenmuutos pakottaa listan muokkaukseen, ja jokainen vanhentunut merkintä vie viattoman liikenteen mukanaan.
Tarkkuus on tässä mallissa rajattu sen mukaan, kuinka hyvin kohde tunnistaa palvelun, ja vilkkaasti käytetty jaettu päätepiste on huono tunniste. Se on rakenteellinen raja, ei toteutusvirhe, joten paremmat työkalut eivät poista sitä. Se selittää myös, miksi estolistat kasvavat: jokainen uusi päätepiste näyttää pieneltä lisäykseltä, ja oheisvahinko kasvaa listan mukana.
Sallittujen lista siirtää ylläpitotaakan
Sallittujen lista kääntää oletuksen niin, että vain ennalta valitut kohteet tai liikennetyypit pääsevät läpi. Sen ei tarvitse luetella jokaista kiellettyä päätepistettä, mikä auttaa, kun kielletty joukko on suuri tai muuttuu nopeasti. Sen sijaan se tarvitsee ylläpidetyn määritelmän siitä, mikä on sallittua, sekä sitä määritelmää vastaavan toteutuksen.
Porttinumerot ovat tällaisen määritelmän tavallinen heikko kohta. Portin salliminen ei ole sama kuin jokaisen sitä mahdollisesti käyttävän sovelluksen tunnistaminen, joten porttipohjainen sallittujen lista päästää usein läpi enemmän kuin sen laatija aikoi. Protokollien sormenjäljillä on sama ongelma toisesta näkökulmasta, koska ne tunnistavat liikenteen muodon, eivät aikomuksen. Sallittujen lista ei siksi ole automaattisesti estolistaa tarkempi; se on tarkka jostakin muusta.
Mitä yksi havainto voi tukea ja mitä ei
Jokainen estämistä koskeva väite kannattaa lukea neljä kysymystä käsissä: mitkä liityntäverkot, mitkä kohteet, mitkä protokollat ja mikä havaintojakso. Tänään yhdessä matkapuhelinverkossa nähty vika ei kerro mitään samasta päätepisteestä huomenna toisesta verkosta. Kerran toiminut tunneli ei kerro mitään kestävästä saatavuudestakaan.
Vian muoto on havaittavissa ennen kuin teoretisoit sen syystä. Hiljainen jumiutuminen, välitön kieltäytyminen ja yhteyden jälkeen tapahtuva nollaus viittaavat erilaisiin toteutustyyleihin, ja kaksi komentoa erottaa ne:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comAikakatkaisuun päättyvä jumiutuminen viittaa hiljaiseen pudottamiseen, nopea kieltäytyminen reitillä kieltäytyvään laitteeseen ja yhteyden jälkeen tapahtuva nollaus tilalliseen häirintään eikä puuttuvaan reittiin. RFC 9505:n katsaus sensuuritekniikoihin kuvaa näiden muotojen taustalla olevat valvontapisteet ja häirintäkuviot. Mikään niistä ei kuitenkaan kerro, kuinka laajasti käytäntöä sovelletaan. Pysyvyys on vahvempi väite kuin tavoitettavuus: päätepisteet, ohjelmistot, käytännöt ja sallitut palvelut kaikki muuttuvat, joten määräämätön tehokkuus vaatii oletuksia toteutuksen jatkumisesta, ei luetteloa yhdellä hetkellä nähdyistä osoitteista.