VPN એક્ઝિટ IP ટનલનો પુરાવો નથી: સર્વર શું જુએ છે

કોઈ વ્યક્તિ એવી સેવા માંગે છે જ્યાં ફક્ત VPN વપરાશકર્તાઓ પહોંચી શકે, અને સ્પષ્ટ અમલ એ છે કે એક્ઝિટ સરનામાંઓની યાદીને મંજૂરી આપવી. યાદી કંઈક વાસ્તવિક કરે છે: તે મર્યાદિત કરે છે કે કોણ જોડાઈ શકે. તે સાબિત કરતું નથી કે ટનલ વપરાઈ હતી, કારણ કે સરનામું એક્ઝિટ ચલાવનારનું છે અને તે ઓપરેટર કોઈપણનો ટ્રાફિક આગળ મોકલી શકે છે. આ બે વિધાનો વચ્ચેનું અંતર એ આખી ડિઝાઇન સમસ્યા છે.

સર્વર દરેક કનેક્શન દીઠ એક સરનામું જુએ છે

કનેક્શન સ્રોત સરનામા અને લક્ષ્ય પોર્ટ સાથે આવે છે, અને નેટવર્ક સ્તર આટલું જ જણાવે છે. જ્યારે ક્લાયન્ટ ટનલ વાપરે છે, ત્યારે તમારા શ્રોતા સુધી પહોંચતા પેકેટ એક્ઝિટમાંથી અથવા તેની સામેની અનુવાદમાંથી આવે છે. ક્લાયન્ટનું પોતાનું સરનામું, સામાન્ય રીતે ખાનગી, ક્યારેય દેખાતું નથી. તેથી ક્લાયન્ટના LAN રેન્જ માટે લખાયેલો ફાયરવોલ નિયમ કંઈ જ કરતો નથી.

તે સ્રોત સરનામા પછીનું બધું એપ્લિકેશન ડેટા છે, અને એપ્લિકેશન તેને તેટલું જ ભરોસો કરી શકે જેટલું તે તેને પ્રમાણિત કરે છે.

તમારું એક્ઝિટ કેવું દેખાય છે તેની પરીક્ષા કરો

નિયમ લખતા પહેલાં બંને છેડેથી માર્ગ જુઓ. ક્લાયન્ટની પોતાના એક્ઝિટ વિશેની દૃષ્ટિ અને સર્વરની કનેક્શન વિશેની દૃષ્ટિ એ બે હકીકતો છે જે મહત્વની છે.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

પ્રથમ આદેશ એ જાહેર સરનામું જણાવે છે જેનાથી ક્લાયન્ટ દેખાય છે, અને કોઈપણ મંજૂર યાદીમાં આ મૂલ્ય હોવું જોઈએ. બીજો સર્વર પર સ્થાપિત કનેક્શનો તેમના સાથી સરનામાંઓ સાથે દર્શાવે છે, અને નિયમ ખરેખર આની સાથે મેળ ખાશે. જો બંને તમારા માનસિક મોડેલ સાથે મેળ ન ખાય, તો નીતિ સંપાદિત કરતા પહેલાં મોડેલ સુધારો. ક્લાઉડ ડેટાબેઝ ફાયરવોલ, એપ્લિકેશન મંજૂર યાદી અને લોડ બેલેન્સર દરેક જુદું અનુવાદ સ્તર જોઈ શકે છે.

બે એક્ઝિટ સમૂહોમાંથી ફક્ત એક જ સૂચિબદ્ધ કરી શકાય છે

એક કિસ્સો વિનંતીની ક્ષણે ચકાસી શકાય છે અને બીજો નહીં, જે ખૂબ જ અલગ બાંયધરીઓ ઉત્પન્ન કરે છે.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

પ્રકાશિત Tor એક્ઝિટ યાદી મેળવી અને સરખાવી શકાય છે, યાદીની ઉંમર અને દરેક એક્ઝિટની પોતાની નીતિને આધીન, તેથી જાણીતા એક્ઝિટ સામેનો ઇનકાર નિયમ અમલપાત્ર અને સમીક્ષાયોગ્ય છે. વ્યાપારી VPN માટે સમકક્ષ કોઈ નોંધણી નથી. સરનામાંઓ ફરે છે, ઘણા પ્રદાતાઓ કંઈ પ્રકાશિત કરતા નથી, અને ટનલ ભાડે લીધેલા ક્લાઉડ સરનામા પર ચાલી શકે છે જે ક્યારેય કોઈ VPNનું ન હતું. તમે બનાવો છો તે યાદી અવલોકિત સરનામાંઓનો સ્નેપશોટ છે, અને તેને હોસ્ટિંગ રેન્જ સુધી વિસ્તારવાથી પુરાવો ઉમેર્યા વિના અસંબંધિત કાર્યભાર ઉમેરાય છે.

સરનામાંઓને નીતિ ઇનપુટ તરીકે વાપરો, પુરાવા તરીકે નહીં

નિયમ શેના માટે છે તે નક્કી કરો. નેટવર્ક પ્રતિબંધ સાંકડો રહેવો જોઈએ, અવલોકિત સરનામું તેની તારીખ અને કારણ સાથે નોંધવું જોઈએ, અને કાયદેસર વપરાશકર્તાઓને તેમનું એક્ઝિટ બદલાય ત્યારે પુનઃપ્રાપ્તિનો માર્ગ મળવો જોઈએ. ઍક્સેસ નિયંત્રણને પ્રમાણિત ખાતું અથવા સહી કરેલ ટોકન જોઈએ, કારણ કે ફક્ત તે જ વિનંતીને ઓળખ સાથે બાંધે છે. જોખમ સ્કોરિંગ સરનામાને એક અવિશ્વસનીય સંકેત તરીકે વાપરી શકે છે, તેના ખોટા હકારાત્મક અને અંધ જગ્યાઓ સ્વીકારીને. નિયમને ઉત્પાદન નિર્ણય તરીકે લખવો પ્રામાણિક છે; ટનલ અસ્તિત્વમાં છે તેની ચકાસણી તરીકે લખવો નથી.

પ્રતિબિંબ વિનંતી, એટલે કે VPNની પાછળ વપરાશકર્તાનું વાસ્તવિક સરનામું પુનઃપ્રાપ્ત કરવું, તે જ કારણસર નિષ્ફળ જાય છે: એક કનેક્શન એક સરનામું વહન કરે છે, અને સત્રો વચ્ચેનો ફેરફાર ઘણી સમજૂતીઓ સાથે સુસંગત છે. અગાઉના મૂલ્યને ઇતિહાસ તરીકે ગણો, સત્ય તરીકે નહીં.