VPN-útgong-IP is gjin bewiis fan in tunnel: wat tsjinners sjogge

Immen freget om in tsjinst dy’t allinnich VPN-brûkers berikke kinne, en de foar de hân lizzende útfiering is in list fan útgongadressen talitte. De list docht eat echt: hy beheint wa’t ferbine kin. Hy bewiist net dat der in tunnel brûkt is, want it adres heart ta wa’t de útgong beret en dy operator kin it ferkear fan elkenien trochstjoere. It gat tusken dy bewearings is it hiele ûntwerpprobleem.

De tsjinner sjocht ien adres per ferbining

In ferbining komt oan mei in boarneadres en in bestimmingspoarte, en dat is alles wat de netwurklaach rapportearret. As in klant in tunnel brûkt, komme de pakketten dy’t dyn harker berikke fan ’e útgong of fan ’e oersetting dêrfoar. It eigen adres fan ’e klant, meastentiids privee, ferskynt nea. In fjoerwâlregel skreaun foar it LAN-berik fan ’e klant docht dus hielendal neat.

Alles nei dat boarneadres is applikaasjedata, en de applikaasje kin der allinnich op fertrouwe foar safier’t er it autentisearret.

Test hoe’t dyn útgong der útsjocht

Besjoch it paad fan beide kanten foardatst in regel skriuwst. De werjefte fan ’e klant fan syn útgong en de werjefte fan ’e tsjinner fan ’e ferbining binne de twa feiten dy’t taakje.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

It earste kommandopartsje rapportearret it iepenbiere adres dêr’t de klant ûnder ferskynt, en dat is de wearde dy’t elke talittingslist befetsje moat. It twadde toant fêstige ferbiningen op ’e tsjinner mei har peer-adressen, en dêrmei sil de regel echt oerienkomme. As de twa net oerienkomme mei dyn mentale model, reparearje it model foardatst it belied bewurkest. In fjoerwâl foar in wolkdatabank, in talittingslist foar in applikaasje en in loadbalancer kinne elk in oare oersettingslaach sjen.

Mar ien fan ’e twa útgongsets kin neamd wurde

It iene gefal is kontrolearber op it stuit fan it fersyk en it oare net, wat hiel ferskillende garânsjes jout.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

De publisearre Tor-útgonglist kin ophelle en ferlike wurde, ôfhinklik fan ’e âldens fan ’e list en it eigen belied fan elke útgong, sadat in wegeringsregel tsjin bekende útgongen hanthavenber en neisjenber is. Der is gjin lykweardich register foar kommersjele VPN’s. Adressen rotearje, in protte oanbieders publisearje neat, en in tunnel kin rinne op in hierde wolkadres dy’t nea fan in VPN west hat. De list dy’tsto gearstalst is in momintopname fan waarnommen adressen, en it ferbreedzjen nei hostingberikken foeget ûnferbâne wurklasten ta sûnder bewiis ta te foegjen.

Brûk adressen as ynfier foar belied, net as bewiis

Beslis wêr’t de regel foar is. In netwurkbeheining moat smel bliuwe, it waarnommen adres mei datum en reden fêstlizze, en legitime brûkers in herstelpaad jaan as har útgong feroaret. Tagongskontrôle hat in autentisearre akkount of in ûndertekene token nedich, want allinnich dy bine in fersyk oan in identiteit. Risikopunting kin it adres as ien ûnbetrouber sinjaal brûke, en de falske positives en blynde plakken derfan akseptearje. De regel as produktbeslissing skriuwe is earlik; him skriuwe as ferifikaasje dat in tunnel bestiet, is dat net.

It spegelbyldfersyk, it weromheljen fan it echte adres fan ’e brûker efter in VPN, mislearret om deselde reden: ien ferbining draacht ien adres, en in feroaring tusken sesjes is ferienichber mei ferskate ferklearrings. Behannelje de eardere wearde as skiednis, net as wierheid.