કોર્પોરેટ ફાયરવોલ VPNની અંદર શું જોઈ શકે છે અને શું નહીં

એ જ લેપટોપ ઘરેથી VPN સુધી પહોંચે છે અને ઑફિસથી કનેક્ટ થઈ શકતું નથી, એટલે કોઈક ટ્રાફિક વાંચી રહ્યું છે. બ્લોક કરવું અને વાંચવું અલગ સત્તાઓ છે, અને ફક્ત બીજાને માર્ગ પર એક સ્થાન તેમજ ક્લાયન્ટ વિશ્વાસ કરે તેવું પ્રમાણપત્ર જોઈએ. તમારો હેન્ડશેક ફેંકી દેતું મધ્ય બોક્સ તમે શું મોકલ્યું હોત તે વિશે કંઈ શીખ્યું નથી. આ બેમાંથી કયા સાથે તમારો સામનો છે તે નક્કી કરવું એ આખું કામ છે.

બ્લોક કરવું અને વાંચવું જુદી સત્તાઓ છે

ઇનકાર સસ્તો અને ઘોંઘાટીયો છે: સોકેટ ખૂલે છે અને કંઈ જવાબ આપતું નથી, અથવા તરત જ રીસેટ આવે છે. તેમાંથી કંઈ પણ તપાસનો અર્થ નથી, કારણ કે કોઈ પેલોડ તારમાંથી પસાર થયું નથી.

વાંચવા માટે એવું એન્ડપોઇન્ટ જોઈએ જે સુરક્ષા સમાપ્ત કરે, પ્રમાણપત્રથી પોતાને સાબિત કરે અને આગળ નવું જોડાણ શરૂ કરે. તે એન્ડપોઇન્ટ માર્ગ પર હોવું જોઈએ અને ક્લાયન્ટ તેના પર ભરોસો કરતો હોવો જોઈએ. ફક્ત પેકેટ ફોરવર્ડ કરતા ફાયરવોલ પાસે ન સ્થાન છે ન પ્રમાણપત્ર.

આવરણ મફતમાં શું આપી દે છે

દરેક ટનલ પેકેટની એક બહારની બાજુ હોય છે, અને બહારની બાજુ રૂટ કરી શકાય તેવી હોવી જોઈએ. એટલે બે સરનામાં, એક પ્રોટોકોલ, એક પોર્ટ અને લંબાઈ, ઉપરાંત સમય અને વોલ્યુમ. કોઈપણ રાઉટર પહેલેથી તે ફીલ્ડ સંભાળે છે, અને NAT તેના મેપિંગ ટેબલને સુસંગત રાખવા સરનામું અને પોર્ટ ફરી લખે છે. પેલોડ સીલબંધ રહે છે, તેથી અવલોકન એ હકીકત પર અટકે છે કે બે હોસ્ટ વચ્ચે ટનલ છે.

હોસ્ટનામ તેમાં નથી. સાઇટ્સ બીજા દરવાજાથી લીક થાય છે, અને સૌથી પહોળો DNS છે: જો લેપટોપ હજી સ્થાનિક રિઝોલ્વરને પૂછે છે, તો નામો ખુલ્લાં દેખાય છે.

સમય અને વોલ્યુમ આદરને લાયક છે, પણ અતિશયોક્તિ વિના. પ્રતિ મિનિટ બાઇટ્સ બતાવી શકે છે કે 14:20 વાગ્યે મોટું ટ્રાન્સફર શરૂ થાય છે; તેઓ બતાવી શકતા નથી કે કઈ ફાઇલ ખસી. તે વર્તન વિશેનું સાચું જાહેર કરવું છે, અને સામગ્રી વાંચવાથી અલગ શ્રેણી છે.

TLS અવરોધનને એવું મૂળ જોઈએ જેમાં તમે પહેલેથી વિશ્વાસ કરો

તપાસનું ઉપકરણ TLS તોડતું નથી; તે તેને સમાપ્ત કરે છે. ક્લાયન્ટને સંસ્થાના માલિકીના મૂળના પ્રમાણપત્ર દ્વારા જવાબ મળે છે, અને બીજું જોડાણ સાચા ગંતવ્ય તરફ જાય છે. ક્લાયન્ટ આ સ્વીકારે છે કારણ કે તે મૂળ તેના ટ્રસ્ટ સ્ટોરમાં બેઠું છે, તેથી મેનેજ કરેલું લેપટોપ કોઈ ચેતવણી બતાવતું નથી. ક્રિપ્ટોગ્રાફી ક્યારેય હારી નહોતી; એન્ડપોઇન્ટ ખસેડાયું હતું.

તેથી જ આ ગોઠવણ પુરાવા છોડે છે. રજૂ કરેલી સાંકળ પરનો ઇશ્યુઅર સંસ્થાનો છે, જાહેર CAનો નહીં, અને ક્લાયન્ટ ખાસ સાધનો વિના તે જોઈ શકે છે. આંતરિક મૂળ પર પૂરી થતી સાંકળ એ અવરોધની સહી છે, ખામી નહીં.

કેમ VPN ચેનલ HTTPS સત્ર નથી

VPN ડેટા ચેનલ તપાસકર્તાને એવો કોઈ આધાર આપતી નથી. IKEv2 અને WireGuard પોતાના હેન્ડશેક અને કી શેડ્યૂલ ચલાવે છે, સમાપ્ત કરવા TLS વિના, જ્યારે OpenVPN તેની નિયંત્રણ ચેનલ માટે TLSને બદલાયેલા સ્વરૂપમાં ઉધાર લે છે, પછી ડેટાને પોતાની રીતે સુરક્ષિત કરે છે. HTTPS માટે બનેલો પ્રોક્સી તે સત્રને એવી વસ્તુ તરીકે ઓળખતો નથી જે તે પાર્સ કરી શકે.

જે ઉપકરણ સત્ર પાર્સ કરી શકતું નથી તે તેને ફેંકી શકે છે. તેથી જ VPN બ્લોકિંગ સામાન્ય રીતે પ્રમાણપત્રની ચેતવણીને બદલે ટાઇમઆઉટ જેવું લાગે છે, અને તેથી જ અપવાદ કંઈ બદલતો નથી.

તમારા પોતાના મશીનથી ચકાસો

સાઇટ જે સાંકળ રજૂ કરે તેનાથી શરૂ કરો. બ્રાઉઝરની સાઇટ વિગતો ઇશ્યુઅર બતાવે છે, અને કમાન્ડ લાઇન સારાંશ વિના એ જ જણાવે છે:

openssl s_client -connect example.com:443 -servername example.com

પછી કાઉન્ટર સાથે નકારેલા હેન્ડશેકને ફિલ્ટર કરેલા આંતરિક ટ્રાફિકથી અલગ કરો. કોઈપણ ડ્રોપ નિયમ પહેલાં ટ્રાન્સપોર્ટ પોર્ટ લોગ કરો અને પ્રયાસ પછી તેમને વાંચો:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

બહારના સોકેટ પર કોઈ લોગ લાઇન ન હોવાનો અર્થ છે કે હેન્ડશેક ક્યારેય બહાર નીકળ્યો નહીં, તેથી માર્ગ ટનલને નકારી રહ્યો છે. પૂર્ણ થયેલો હેન્ડશેક અને ફક્ત કેટલાક ગંતવ્યો નિષ્ફળ જવાનો અર્થ છે કે ટનલ કામ કરે છે અને તેની અંદરની નીતિ નથી. બંમાંથી કોઈ પરિણામને પેલોડનો એક બાઇટ વાંચવાની જરૂર નહોતી.

ખરેખર થતું વાંચન કિનારે બેસે છે: વિભાજિત ટનલ આંતરિક HTTPS કોર્પોરેટ પ્રોક્સીને સોંપે છે, અને માલિક-ધારક કન્સન્ટ્રેટર બહાર નીકળતી વખતે બધું ખુલ્લું કરે છે. તમે શું પણ શોધો, જોડાણ ફરજિયાત કરવા પ્રમાણપત્ર ચકાસણી બંધ કરશો નહીં, કારણ કે તે ચકાસણી જ તપાસને હુમલાવીરથી અલગ પાડે છે.