כתובת IP של יציאת VPN אינה הוכחה למנהרה: מה השרתים רואים

מישהו מבקש שירות שרק משתמשי VPN יכולים להגיע אליו, והמימוש המובן מאליו הוא לאשר רשימה של כתובות יציאה. הרשימה עושה משהו אמיתי: היא מגבילה מי יכול להתחבר. היא אינה מוכיחה שהשתמשו במנהרה, כי הכתובת שייכת למי שמפעיל את היציאה, ומפעיל זה יכול להעביר את התעבורה של כל אחד. הפער בין שתי הקביעות האלה הוא כל בעיית התכנון.

השרת רואה כתובת אחת לכל חיבור

חיבור מגיע עם כתובת מקור ופורט יעד, וזה כל מה ששכבת הרשת מדווחת. כשמלקוח משתמש במנהרה, החבילות שמגיעות למאזין שלך מגיעות מהיציאה או מהתרגום שלפניה. הכתובת של המלקוח עצמו, בדרך כלל פרטית, אינה מופיעה לעולם. לכן כלל חומת אש שנכתב עבור טווח הרשת המקומית של המלקוח אינו עושה דבר.

כל מה שאחרי כתובת המקור הזו הוא נתוני יישום, והיישום יכול לסמוך עליהם רק כמידת האימות שהוא מבצע.

בדקו איך נראית היציאה שלכם

הסתכלו על המסלול משני הקצוות לפני כתיבת כלל. תפיסת המלקוח את היציאה שלו ותפיסת השרת את החיבור הן שתי העובדות שחשובות.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

הפקודה הראשונה מדווחת את הכתובת הציבורית שבה המלקוח נראה, וזה הערך שכל רשימת הרשאה חייבת להכיל. השנייה מציגה חיבורים קיימים בשרת עם כתובות העמיתים שלהם, ולזה הכלל באמת יתאים. אם השניים אינם מתיישבים עם המודל המנטלי שלכם, תקנו את המודל לפני עריכת המדיניות. חומת אש של מסד נתונים בענן, רשימת הרשאה של יישום ומאזן עומסים יכולים כל אחד לראות שכבת תרגום אחרת.

רק אחת משתי קבוצות היציאה ניתנת לרישום

מקרה אחד ניתן לבדיקה ברגע הבקשה והשני לא, מה שמייצר ערבויות שונות מאוד.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

רשימת יציאות Tor המפורסמת ניתנת להורדה ולהשוואה, בכפוף לגיל הרשימה ולמדיניות של כל יציאה, ולכן כלל סירוב נגד יציאות מוכרות ניתן לאכיפה ולבדיקה. אין מרשם מקביל ל-VPN מסחריים. הכתובות מתחלפות, ספקים רבים אינם מפרסמים דבר, ומנהרה יכולה לרוץ על כתובת ענן שכורה שמעולם לא הייתה של VPN. הרשימה שאתם מרכיבים היא תמונת מצב של כתובות שנצפו, והרחבתה לטווחי אחסון מוסיפה עומסים לא קשורים בלי להוסיף הוכחה.

השתמשו בכתובות כקלט למדיניות, לא כהוכחה

החליטו לשם מה הכלל. הגבלה ברשת צריכה להישאר צרה, לתעד את הכתובת שנצפתה עם תאריכה וסיבתה, ולתת למשתמשים לגיטימיים נתיב התאוששות כשהכתובת של היציאה משתנה. בקרת גישה זקוקה לחשבון מאומת או לאסימון חתום, כי רק אלה קושרים בקשה לזהות. ניקוד סיכון יכול להשתמש בכתובת כאות בודד לא אמין, תוך קבלת ההתראות השווא והנקודות העיוורות שלו. לכתוב את הכלל כהחלטת מוצר זה ישר; לכתוב אותו כאימות שקיימת מנהרה זה לא.

הבקשה ההפוכה, שחזור הכתובת האמיתית של המשתמש מאחורי VPN, נכשלת מאותה סיבה: חיבור אחד נושא כתובת אחת, ושינוי בין הפעלות מתיישב עם כמה הסברים. התייחסו לערך הקודם כהיסטוריה, לא כאמת.