Seoladh calafoirt vs rochtain VPN: cén áit a dtéann an paicéad i ndáiríre

Dhá dhearadh, aip HTTPS amháin, agus téann an paicéad ar bhealach difriúil i ngach ceann. Athraíonn seoladh calafoirt cén áit a seachadtar an paicéad agus fágtar an chuid eile gan bhaint. Iompraíonn VPN an paicéad sin taobh istigh de phaicéad eile ar dtús, mar sin feiceann éisteoir na haipe foinse dhifriúil agus ualach uasta níos lú. Tá an criptiú a ndéanann daoine díospóireacht air i láthair sa dá chás, toisc go bhfuil an aip fós HTTPS; is é an rud a athraíonn ná cé atá in ann nasc a oscailt agus cad is féidir leis an líonra idir eatarthu a bhreathnú. Socraíonn an t-idirdhealú sin formhór na gceisteanna praiticiúla.

Athsocraíonn an riail DNAT an ceann scríbe agus stopann sé ansin

Ar gheata Linux, ciallaíonn foilsiú seirbhíse riail sa slabhra PREROUTING den tábla nat, nó a chomhionann in nftables. Meaitseálann an riail an seoladh agus an calafort poiblí, ansin athsocraíonn sí an ceann scríbe chuig seoladh príobháideach na haipe. Fanann seoladh foinse, calafort foinse agus ualach gan athrú, agus taifeadann conntrack an mapáil ionas go n-athscríobhfar freagraí amach. Is é an t-iompar an tsamhail traidisiúnta aistriúcháin seoltaí a thuairiscítear i RFC 3022.

sudo iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 443 \
  -j DNAT --to-destination 10.20.30.40:443
sudo iptables -t nat -L PREROUTING -n -v
sudo conntrack -L -p tcp --dport 443

Ní fhoghlaimíonn éisteoir na haipe go raibh an nasc tagtha trí aistriúchán. Feiceann sé fíor-sheoladh foinse an chliaint, rud atá úsáideach do logaí rochtana agus do theorainneacha ráta, agus freagraíonn sé don seoladh príobháideach toisc go ndéanann conntrack an mapáil a aisiompú. Ní dhíchriptíonn ná ní athchriptíonn aon rud ar an mbealach sin: ritheann TLS fós idir an cliant agus deimhniú na haipe féin.

Socraíonn an riail freisin na modhanna teipe a bhuailfidh tú leo níos déanaí. Má sheolann an geata ar aghaidh ach mura bhfuil aon bhealach ar ais chuig an gcliant ag óstach na haipe, fhágann freagraí leis an bhfoinse mhícheart agus stopann an chroitheadh láimhe. Má mheaitseálann dara riail ar dtús, socraíonn an t-ord an toradh, agus taispeánann iptables -t nat -L -n -v na cuntair a chruthaíonn cé acu riail a ghlac an paicéad.

Filltear an paicéad sa tollán sula bhfeiceann an t-éisteoir é

Ní fhoilsíonn VPN an aip ar chor ar bith. Tógann an cliant paicéad seachtrach atá dírithe chuig seoladh poiblí an gheata, criptíonn sé an paicéad inmheánach istigh ann, agus díchriptíonn an geata agus ródaíonn sé an paicéad inmheánach chuig an gceann scríbe príobháideach. Le WireGuard is UDP an t-iompar seachtrach, de ghnáth ar chalafort ard; le OpenVPN thar TCP 443 breathnaíonn an paicéad seachtrach cosúil le TLS ar gach rud a bhreathnaíonn an bealach.

Taobh istigh den tollán coinníonn an paicéad inmheánach seoltaí príobháideacha: seoladh tolláin an chliaint, abair 10.8.0.6, agus an aip ag 10.20.30.40. Feiceann an t-éisteoir foinse ó linn an tolláin mar sin, agus roinneann gach cliant an geata sin mar an chéad léim eile. Is minic a thaispeánann logaí rochtana taobh thiar de VPN an geata seachas an t-úsáideoir go díreach ar an gcúis seo, mura gcaomhnaíonn an geata an fhoinse bhunaidh.

Cosnaíonn an timfhilleadh spás ceanntásc, agus sin an t-aon difríocht ar leibhéal meicníochta a bhfuil iarmhairt intomhaiste aici. Itheann ceanntásc IP seachtrach móide UDP móide ceanntásc WireGuard féin as MTU an bhealaigh, mar sin caithfear paicéid mhóra a ilroinnt nó caithfidh an stac TCP inmheánach a MSS a chúngú. Is féidir le haistriú a oibríonn ar an mbealach seolta stopadh ar an tollán nuair a scaoileann meán-bhosca an ICMP a chuirfeadh in iúl an MTU níos lú.

ip route get 10.20.30.40
ping -M do -s 1400 10.20.30.40
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
  -j TCPMSS --clamp-mss-to-pmtu

Socraítear an nochtadh ag an mbealach isteach, ní leis an gcifir

Críochnaíonn an dá dhearadh ag an éisteoir TLS céanna, mar sin faigheann an dá cheann an deimhniú céanna, na leaganacha prótacail céanna agus an logáil isteach céanna don aip. Is é a athraíonn ná cé a bhfuil cead aige croitheadh láimhe a thosú. Le seoladh poiblí, faigheann aon óstach a shroicheann 203.0.113.10:443 croitheadh láimhe TCP agus TLS ClientHello sula gcuirtear údarú d’aip san áireamh ar chor ar bith. Le rochtain trí thollán amháin, ní féidir an t-éisteoir a shroicheadh ach ó sheoltaí a ródaíonn an geata isteach sa tollán, agus faigheann SYN strainséara bás ag beartas an gheata.

Baineann an difríocht sin le hinrochtaineacht, ní le rúndacht. Ní téacs simplí é seirbhís HTTPS seolta, agus ní thógann VPN an gá le fíordheimhniú na haipe: freagraíonn cead isteach sa tollán an féidir le gléas paicéid a sheoladh isteach sa líonra seo, agus freagraíonn an aip chomhad an féidir le húsáideoir doiciméad a léamh. Is é an dá rud a mheascadh an bealach a gcríochnaíonn foirne le VPN a thugann an LAN ar fad agus aip le haon phasfhocal roinnte.

Scrúdaigh an t-éisteoir agus an beartas ar leithligh, mar is féidir le ceachtar acu a bheith níos leithne ná mar a cheapann tú:

sudo ss -ltnp 'sport = :443'
sudo nft list ruleset
openssl s_client -connect 203.0.113.10:443 -servername files.example.com </dev/null

Má thaispeánann ss go bhfuil an t-éisteoir ceangailte le 0.0.0.0, tá an aip inrochtana ó chibé áit a gceadaíonn ródú agus beartas balla dóiteáin é, agus ní sháraíonn an seoladh ach ceann de na bealaí isteach. Is cinneadh ar leith ó roghnú VPN é ceangal leis an seoladh príobháideach, nó an raon foinse a theorannú sa bhalla dóiteáin, agus is é sin an cinneadh a laghdaíonn an nochtadh i ndáiríre.

Tomhais an bealach, ní an lipéad

Nuair a mhaíonn duine go bhfuil an seoladh níos tapúla, coinníonn an chomparáid mhacánta gach rud eile seasmhach: an cliant céanna, an líonra rochtana céanna, an comhad céanna, an chumraíocht TLS chéanna, an t-óstach aipe céanna. Rith an t-aistriú dhá uair in aghaidh an bhealaigh agus taifead an t-am iomlán, líon na dteipeanna agus an freagrúlacht, ní aschur tástála luais neamhghaolmhaire.

curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' \
  https://files.example.com/report.pdf
mtr -rwc 20 203.0.113.10
mtr -rwc 20 10.20.30.40

Dealaíonn na huimhreacha sin bunú an naisc ón am aistrithe, rud a bhfuil tábhacht leis mar is gnách go mbíonn difríocht idir an dá bhealach i bhfaillí timpeallaithe agus i MTU seachas i gcostas an chifir. Tarlaíonn obair TLS ag na foircinn sa dá dhearadh, agus cuireann tollán ionchapsúlú, bealach difriúil agus b'fhéidir geata níos gnóthaí leis. Má tá bealach an tolláin níos faide nó má tá a gheata faoi ualach, baineann an difríocht leis an mbealach agus ní leis an bhfocal criptiú.

Roghnaigh an beartas isteach a bhfuil géarghá ag an tseirbhís leis, ansin socraigh an bhfuil difríocht thomhaiste ina údar maith lena athrú. Oireann seoladh poiblí do sheirbhís atá ceaptha don idirlíon oscailte, le srianta foinse, TLS cothrom le dáta agus monatóireacht os a chomhair. Oireann rochtain trí thollán amháin d’uirlis inmheánach a bhfuil a húsáideoirí cláraithe cheana, ar choinníoll go bhfuil ródú an gheata agus ceadanna na haipe araon níos cúinge ná an LAN ar fad.

Sula ndéarfaidh tú go bhfuil an dearadh críochnaithe, deimhnigh ceithre rud: cén seoladh a bhfuil an t-éisteoir ceangailte leis, cén riail nó bealach a ligtear an paicéad isteach, an n-oibríonn an bealach ar ais ó fhíor-sheoladh an chliaint, agus an maireann ualaí móra an MTU. Tá ordú thuas do gach ceann acu, agus ní fhreagraíonn an focal slán ná graf bandaleithead d’aon cheann acu.