VPN vai välityspalvelin: mitä kumpikin kattaa ja mitä ei

Sekä VPN että eteenpäin välittävä välityspalvelin muuttavat osoitetta, jonka verkkosivusto näkee, ja siihen useimmat vertailut päättyvät. Asetuksesi ratkaisee kattavuus: eteenpäin välittävä välityspalvelin on välittäjä, jonka sovelluksesi itse valitsee käyttöön, toisin kuin verkkosivuston edessä oleva käänteinen välityspalvelin, kun taas VPN siirtää kaiken, mitä käyttöjärjestelmä reitittää tunneliin. Salaus, DNS:n käsittely ja vikatilanne seuraavat kaikki tästä jaosta. Suorita nämä viisi tarkistusta järjestyksessä, ja ensimmäinen epäonnistuva kertoo, mitä työkalua todella tarvitset.

Mitkä sovellukset välittäjä kattaa?

Selaimen välityspalvelulaajennus koskee vain kyseistä selainprofiilia. Sähköpostiohjelmat, paketinhallinta ja toinen selain jatkavat omilla asetuksillaan, ja jotkin sovellukset jättävät järjestelmän välityspalvelinmuuttujat kokonaan huomiotta. VPN kattaa sen, mitä reititystaulu lähettää tunneliin, ja se voi olla kaikki sovellukset tai jaetun tunnelin osajoukko reiteistä ja asiakaskäytännöstä riippuen.

Testaa sovellukset, joilla on merkitystä, sen sijaan että yleistäisit yhdestä sivun latauksesta. curl https://ifconfig.me noudattaa ympäristön välityspalvelinmuuttujia; työpöytäsovellus ei välttämättä. Windowsissa netsh winhttp show proxy tulostaa WinHTTP-välityspalvelimen, jota palvelut käyttävät, ja se on eri asetus kuin selaimen.

Onko hyppy salattu, ja mihin TLS päättyy?

Välityspalvelinprotokolla on kohtaamispaikka, ei tae. SOCKS5 välittää TCP:n salaamatta sitä, ja tavallinen HTTP-välityspalvelin kuljettaa pyyntörivin ja otsikot selkokielisenä. HTTPS välityspalvelimen kautta käyttää CONNECT-menetelmää, joten TLS-istuntosi päättyy silti kohteeseen eikä välityspalvelimeen. MDN:n opas välityspalvelimista ja tunnelointiin kuvaa tämän eron protokollan puolelta.

VPN salaa laitteesi ja sen päätepisteen välisen osuuden. Päätepisteen jälkeen pätevät samat säännöt kuin missä tahansa muussa verkossa, minkä vuoksi pelkkä tunneli ei suojaa sovellusta, joka lähettää tunnistetietoja tavallisella HTTP:llä. Kumpikaan rakenne ei piilota kirjautunutta tiliä, evästettä tai selaimen sormenjälkeä.

curl -v -x http://127.0.0.1:3128 https://example.com/ -o /dev/null
curl -v -x socks5h://127.0.0.1:1080 https://example.com/ -o /dev/null

Yksityiskohtainen tuloste näyttää, lähettikö curl CONNECT-pyynnön porttiin 443 vai tavallisen GET-pyynnön täydellä URL-osoitteella. socks5h://-muodossa isäntänimi annetaan välityspalvelimelle SOCKS5-pyynnön sisällä, ja se välittää eteenpäin TLS:ää, jota se ei voi lukea, joten se näkee nimen ja tavumäärän. http://-välityspalvelimen kautta https://-URL on CONNECT, joten myös tämä välityspalvelin näkee kohteen nimen ja määrän, mutta ei pyyntöä tai vastauksen runkoa.

Mikä resolveri näkee nimen?

Nimien selvitys voi tapahtua paikallisesti ennen kuin pyyntö lähtee, tai etänä välityspalvelimella. Curlissa socks5h:// lähettää isäntänimen välityspalvelimelle, kun taas socks5:// selvittää sen ensin paikallisesti. Selaimen välityspalvelinasetukset tarjoavat vastaavan DNS-vaihtoehdon, ja PAC-tiedostot voivat reitittää eri isäntiä eri tavoin.

Kaksi protokollaa voi ohittaa välityspalvelimen ilman mitään väärää asetusta. WebRTC kerää ehdokkaita STUN:n kautta, ja QUIC ajaa HTTP/3:a UDP:n päällä, jota TCP-välityspalvelin ei voi kuljettaa. Selain palaa TCP:hen, jos UDP 443 on estetty, joten UDP 443:n estäminen isännän palomuurissa (tai reitittimessä koko verkolle), ei selaimen lippu, on luotettava tapa pitää HTTP/3 välityspalvelimen polussa.

Tarkista resolveri kohteen näkökulmasta, ei kannettavasi. Pyyntö, joka saapuu välityspalvelimen lähtöosoitteella mutta paikallisesti selvitetyllä nimellä, kertoo silti paikalliselle resolverille, millä sivustoilla käyt.

Mitä tapahtuu, kun välittäjä pettää?

Selkeä välityspalvelin pettää suljetusti: pysäytä välityspalvelinprosessi, ja selain tai sovellus palauttaa yhteysvirheen sen sijaan että menisi suoraan. PAC- ja WPAD-asetukset ovat niitä, jotka pettävät avoimesti - jos komentosarjaa ei voi noutaa, asiakas palaa DIRECT-tilaan ja sivusto näkee jälleen todellisen osoitteesi. VPN voi pettää avoimesti tai suljetusti riippuen asiakkaasta ja siitä, onko hätäkatkaisin vai palomuurisääntö aktiivinen.

Testaa vikatilanne tarkoituksella: pysäytä välityspalvelu ja lataa uudelleen; jos saat suoran latauksen sijaan virhesivun, osoita PAC-URL saavuttamattomaan isäntään nähdäksesi varautumisen. Jos sivu latautuu yhä tavallista reittiäsi, välityspalvelin ei tarjoa suojaa omaa katkostaan vastaan, ja se on ominaisuus, joka sinun pitäisi tuntea ennen kuin luotat siihen.

Järjestys ratkaisee, mitä sivusto näkee. Välityspalvelin, jonka lähtevä liikenne kulkee VPN:n kautta, jättää sivustolle näkyviin VPN:n päätepisteen osoitteen; sijoita välityspalvelin tunnelin ulkopuolelle (VPN etäisellä isännällä olevaan välityspalvelimeen) ja sivusto näkee sen sijaan kyseisen välityspalvelimen lähtöosoitteen. Kummassakin tapauksessa kaksi hyppyä voi kirjata eri asioita.

Viisi tarkistusta, järjestyksessä

Alla oleva tarkistuslista on koko päätös yhdessä paikassa. Kattavuus tulee ensin, koska se poistaa useimmat yhteensopimattomuudet: jos katettavan sovellus ei noudata asetusta, mikään myöhempi listalla ei pelasta sitä.

Vahvista sitten tulos sovelluksella, joka muutoksen sai aikaan. Lataa sivu määritetyssä selaimessa, hae sama sivu curlilla ja vertaa osoitetta, jonka kumpikin ilmoittaa. Jos ne eroavat, laajennus, PAC-sääntö tai sovellustason ohitus on yhä voimassa, eikä mikään tunnelin viritys korjaa sitä.

Kirjaa ylös, mitä määritit: mitkä sovellukset käyttävät välityspalvelinta, onko DNS paikallinen vai etäinen, onko UDP estetty ja millainen vikatilanne on. Juuri tämä pieni luettelo tekee seuraavan vertailun mahdolliseksi, sillä “IP vaihtui” ei koskaan kertonut, mikä näistä viidestä tarkistuksesta meni läpi.