VPN:n ulostulo-IP ei ole todiste tunnelista: mitä palvelimet näkevät

Joku pyytää palvelua, johon vain VPN-käyttäjät pääsevät, ja ilmeinen toteutus on sallia luettelo ulostulo-osoitteista. Luettelo tekee jotain todellista: se rajoittaa, kuka voi yhdistää. Se ei todista, että tunnelia käytettiin, koska osoite kuuluu sille, joka ylläpitää ulostuloa, ja tämä operaattori voi välittää kenen tahansa liikennettä. Näiden väitteiden välinen ero on koko suunnitteluongelma.

Palvelin näkee yhden osoitteen yhteyttä kohden

Yhteys saapuu lähdeosoitteen ja kohdeportin kanssa, ja se on kaikki, mitä verkkokerros ilmoittaa. Kun asiakas käyttää tunnelia, kuuntelijallesi saapuvat paketit tulevat ulostulosta tai sen edessä olevasta käännöksestä. Asiakkaan oma osoite, yleensä yksityinen, ei koskaan näy. Siksi asiakkaan lähiverkon alueelle kirjoitettu palomuurisääntö ei tee yhtään mitään.

Kaikki tuon lähdeosoitteen jälkeen on sovelluksen dataa, ja sovellus voi luottaa siihen vain siltä osin kuin se todentaa sen.

Testaa, miltä ulostulosi näyttää

Katso polkua molemmista päistä ennen säännön kirjoittamista. Asiakkaan näkemys omasta ulostulostaan ja palvelimen näkemys yhteydestä ovat ne kaksi tosiasiaa, joilla on merkitystä.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Ensimmäinen komento ilmoittaa julkisen osoitteen, jona asiakas näkyy, ja se on arvo, joka jokaisen sallittujen luettelon on sisällettävä. Toinen näyttää palvelimella muodostetut yhteydet ja niiden vertaisosoitteet, ja juuri siihen sääntö todella osuu. Jos nämä kaksi eivät vastaa mielikuvamalliasi, korjaa malli ennen käytännön muokkaamista. Pilvitietokannan palomuuri, sovelluksen sallittujen luettelo ja kuormantasaaja voivat kukin nähdä eri käännöskerroksen.

Vain toinen kahdesta ulostulojoukosta voidaan luetteloida

Toinen tapaus on tarkistettavissa pyynnön hetkellä ja toinen ei, mikä tuottaa hyvin erilaiset takeet.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Julkaistu Tor-ulostuloluettelo voidaan hakea ja vertailla, luettelon iästä ja kunkin ulostulon omasta käytännöstä riippuen, joten kieltosääntö tunnettuja ulostuloja vastaan on täytäntöönpanokelpoinen ja tarkistettavissa. Kaupallisille VPN:ille ei ole vastaavaa rekisteriä. Osoitteet vaihtuvat, monet tarjoajat eivät julkaise mitään, ja tunnelia voi ajaa vuokratulla pilviosoitteella, joka ei koskaan kuulunut VPN:lle. Kokoamasi luettelo on tilannekuva havaituista osoitteista, ja sen laajentaminen hosting-alueisiin lisää asiaankuulumattomia kuormia lisäämättä todisteita.

Käytä osoitteita käytännön syötteenä, älä todisteena

Päätä, mitä varten sääntö on. Verkkorajoituksen tulee pysyä kapeana, tallentaa havaittu osoite päivämäärän ja syyn kanssa ja antaa laillisille käyttäjille palautumispolku, kun heidän ulostulonsa muuttuu. Pääsynvalvonta tarvitsee todennetun tilin tai allekirjoitetun tunnuksen, koska vain ne sitovat pyynnön identiteettiin. Riskipisteytys voi käyttää osoitetta yhtenä epäluotettavana signaalina hyväksyen sen väärät positiiviset ja sokeat pisteet. Säännön kirjoittaminen tuotepäätöksenä on rehellistä; sen kirjoittaminen todisteeksi tunnelin olemassaolosta ei ole.

Peilikuvapyyntö, käyttäjän todellisen osoitteen palauttaminen VPN:n takaa, epäonnistuu samasta syystä: yksi yhteys kantaa yhtä osoitetta, ja muutos istuntojen välillä on yhteensopiva useiden selitysten kanssa. Käsittele aiempaa arvoa historiana, älä totuutena.