Wat in bedriuwsfirewall wol en net sjen kin yn in VPN

Deselde laptop berikt de VPN fan hûs en kin fan it kantoar net ferbine, dus immen moat it ferkear lêze. Blokkearjen en lêzen binne aparte machten, en allinnich it twadde hat in plak op it paad nedich plus in sertifikaat dêr’t de klant op fertrout. In middenkast dy’t dyn hânskud fuortsmyt, hat neat leard oer wat jo stjoerd hawwe soene. Beslute mei hokker fan de twa jo te meitsjen hawwe, is it hiele wurk.

Blokkearjen en lêzen binne ferskillende machten

In wegering is goedkeap en lûd: de socket giet iepen en neat antwurdet, of der komt daliks in reset. Neat dêrfan betsjut ynspeksje, want gjin lading hat de tried oerstutsen.

Lêzen freget in einpunt dat de beskerming einige, him mei in sertifikaat bewissiget en in nije ferbining foarút begjint. Dat einpunt moat op it paad stean en troch de klant fertroud wurde. In firewall dy’t allinnich pakketten trochstjoert, hat noch posysje noch folmacht.

Wat de omslach fergees weijout

Elk tunnelpakket hat in bûtenkant, en de bûtenkant moat routber wêze. Dat betsjut twa adressen, in protokol, in poarte en in lingte, plus tiid en folume. Eltse router behannelet dy fjilden al, en in NAT skriuwt it adres en de poarte oer om syn maptermap konsekwint te hâlden. De lading bliuwt fersegele, sadat de waarnimming ophâldt by it feit dat der in tunnel tusken twa hosts bestiet.

In hostnamme is dêr net ien fan. Sites lekke troch oare doarren, en de breedste is DNS: as de laptop noch de lokale resolver freget, ferskine de nammen yn it iepenbier.

Tiid en folume fertsjinje respekt sûnder oerdreaun te wurden. Bytes per minút kinne sjen litte dat in grutte oerdracht om 14:20 begjint; se kinne net sjen litte hokker bestân ferhuze. Dat is in echte iepenbiering oer gedrach, en in oare kategory as ynhâld lêze.

TLS-ûnderskepping freget in woartel dêr’t jo al op fertrouwe

In ynspektearjend apparaat brekt TLS net; it einiget it. De klant wurdt antwurde troch in sertifikaat fan in woartel dy’t de organisaasje besit, en in twadde ferbining giet nei it echte bestimming. De klant akseptearret dit om’t dat woartel yn syn fertrouwenswinkel sit, en dêrom lit in beheard laptop gjin warskôging sjen. Kryptografy waard nea ferslein; it einpunt waard ferpleatst.

Dat is ek wêrom’t de regeling bewiis efterlit. De útjouwer op ’e toande keatling heart by de organisaasje en net by in iepenbiere CA, en in klant kin dat sûnder spesjaal ark sjen. In keatling dy’t by in yntern woartel einiget, is de hantekening fan ûnderskepping, net in mankement.

Wêrom’t in VPN-kanaal gjin HTTPS-sesje is

In VPN-datakanaal jout in ynspekteur gjin sok fêstplak. IKEv2 en WireGuard rinne har eigen hânskuddens en kaaiplannen, sûnder TLS om te einigjen, wylst OpenVPN TLS liendt foar syn kontrôlekanaal yn in wizige foarm foardat it gegevens op syn eigen wize beskermet. In proxy boud foar HTTPS werkennt dy sesje net as eat dat it parse kin.

In apparaat dat in sesje net parse kin, kin dy dochs fuortsmite. Dêrom liket VPN-blokkearring meastentiids op in tiidferrin en net op in sertifikaatswarskôging, en dêrom feroaret in útsûndering neat.

Kontrolearje it fan jo eigen masine

Begjin mei de keatling dy’t de side presintearret. Browser-side-details litte de útjouwer sjen, en de kommando-rigel rapportearret itselde sûnder de gearfetting:

openssl s_client -connect example.com:443 -servername example.com

Skied dan in wegere hânskudden fan filtere binnenferkear mei tellers. Log de ferfierspoarte foar elke drop-regel en lês se neidat de poging dien is:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Gjin logrigel by de bûtenste socket betsjut dat de hânskudden nea fuortgien is, dus it paad wegeret de tunnel. In foltôge hânskudden wêrby’t allinnich guon bestimmingen mislearje, betsjut dat de tunnel wurket en it belied binnenyn net. Gjin fan beide resultaten frege om in byte lading te lêzen.

It lêzen dat echt bart, sit oan ’e rânen: in splitst tunnel jout yntern HTTPS oan in bedriuwsproxy, en in konsintrator yn eigendom fan ’e wurkjouwer leit by de útgong alles bleat. Wat jo ek fine, skeakelje sertifikaatferifikaasje net út om in ferbining te twingen, want dy kontrôle is it iennichste dat ynspeksje fan in oanfaller skiedt.