Կարո՞ղ է ցանցը արգելափակել ձեր VPN-ը՝ առանց գաղտնագրումը կոտրելու:
Գաղտնագրումը պաշտպանում է բովանդակությունը, ոչ առաքումը։ Համեմատեք արգելափակման ցուցակները, թույլատրելիների ցուցակները և անջատումները, ապա հարցրեք, թե ինչ կարող է իրականում հիմնավորել մեկ դիտարկումը։
Ոչ մի օպերատորի պետք չէ սեսիայի բանալի՝ թունելը կանգնեցնելու համար. գցեք փաթեթները ուղու վրա և այն ձախողվում է, մինչդեռ գաղտնագրությունը մնում է ճիշտ այնքան ուժեղ, որքան խոստացել էր դրա նախագիծը: Գաղտնագրումը պաշտպանում է այն, ինչ խոսակցությունը կրում է, այլ ոչ թե ցանկացած ցանցի պատրաստակամությունը այն կրելու: Այս երկու հատկությունների տարանջատումը արգելափակելիության մասին վեճը վերածում է հարցի այն մասին, թե որ քաղաքականությունն է գործում և որքան հեռու է այն հասնում: Ստորև բերված համեմատությունը հասանելիությունը և գաղտնիությունը պահում է առանձին, որովհետև VPN-ի արգելափակման մասին վստահ պնդումների մեծ մասը լուռ միավորում է դրանք:
Հասանելիությունը որոշում է ուղին
Յուրաքանչյուր տրանսպորտ կախված է ուղուց, որը փոխանցում է փաթեթները, և այստեղ յուրաքանչյուր քաղաքական հարց վերածվում է այդ փոխանցման որոշման: Փաթեթները գցող կանոնը փոխում է հասանելիությունը՝ չդիպչելով գաղտնիությանը, և հենց այդպես թունելը կարող է անթերի գաղտնագրված և միևնույն պահին լրիվ անօգտագործելի լինել: Այդ արդյունքում ոչինչ չի պահանջում կոտրել ծածկագիր կամ վերականգնել բանալին: Այն պահանջում է միայն վերահսկողություն ուղու վրա:
Շփոթությունը սովորաբար սկսվում է նրանից, որ երկու հատկություն կիսում են մեկ բառ: Ուժեղ գաղտնագրությունը խոսում է այն մասին, թե ով կարող է կարդալ հոսքը. այն ոչինչ չի ասում այն մասին, թե մեջտեղի սարքը կանցնի այն: Ուստի այն պնդումը, թե VPN-ը հնարավոր չէ արգելափակել, պահանջում է երկրորդ պնդում դրա տակ, այն է՝ որ ուղու վրա ոչ ոք պատրաստ չէ գցել փաթեթները:
Կիրառման ոճերը և յուրաքանչյուրի գինը
Երեք ոճ ընդգրկում են իրական քաղաքականությունների մեծ մասը, և դրանք տարբերվում են նրանով, թե ինչ պետք է իմանան, ինչ արժե դրանց գործարկումը և ով դեռ տուժում է: Նրանցից յուրաքանչյուրը կարող է մերժել թունելը՝ առանց որևէ բան վերծանելու: Տարբերությունները կարևոր են, որովհետև նույն բառը՝ արգելափակում, օգտագործվում է բոլոր երեքի համար:
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Այդ աղյուսակը ծախսերի քարտեզ է, ոչ դասակարգում: Արգելափակման ցուցակը էժան է սկսել և թանկ՝ ճշգրիտ պահել. թույլատրելիների ցուցակը հայտնաբերումը փոխանակում է թույլատրված բազմության սպասարկման հետ, իսկ անջատումը բոլորովին կարիք չունի դասակարգման: Նրանց բաժանում է ոչ թե տեխնիկական նրբությունը, այլ այն, թե որտեղ է յուրաքանչյուրը դնում շարունակական ջանքը: Թղթի վրա պարզ թվացող քաղաքականությունը սովորաբար ինչ-որ տեղ ունի թաքնված սպասարկման տող:
Արգելափակման ցուցակը սահմանափակվում է նրանով, թե որքան լավ է հասցեն անվանում ծառայությունը
Արգելափակման ցուցակը մերժում է արդեն նույնականացված նպատակակետերը և մնացածը թողնում է ընդհանուր հասանելի: Այն կիրառելու համար պետք են հասցեներ և պորտեր, ոչ բաց տեքստ, և դա է այն սկզբում էժան դարձնում: Ծախսը գալիս է ավելի ուշ, որովհետև տիրույթը, որը մի ժամանակ նույնականացնում էր մեկ մատակարարի, հետագայում կարող է տեղավորել մեկ տասնյակ անկապ վարձակալների: Յուրաքանչյուր հասցեափոփոխություն պարտադրում է ցուցակի խմբագրում, և յուրաքանչյուր հնացած գրառում իր հետ տանում է անմեղ երթևեկություն:
Ճշգրտությունը այս մոդելում սահմանափակված է նրանով, թե որքան լավ է նպատակակետը նույնականացնում ծառայությունը, և ծանրաբեռնված ընդհանուր վերջնակետը վատ նույնացուցիչ է: Սա կառուցվածքային սահման է, ոչ իրականացման թերություն, ուստի ավելի լավ գործիքները այն չեն վերացնում: Դա նաև բացատրում է, թե ինչու արգելափակման ցուցակները հակված են աճելու. յուրաքանչյուր նոր վերջնակետ թվում է փոքր հավելում, և կողմնակի վնասը աճում է ցուցակի հետ:
Թույլատրելիների ցուցակը տեղափոխում է սպասարկման բեռը
Թույլատրելիների ցուցակը շրջում է լռելյայնը, որպեսզի անցնեն միայն նախապես ընտրված նպատակակետերը կամ երթևեկության տեսակները: Այն պետք չէ թվարկել յուրաքանչյուր արգելված վերջնակետ, ինչը օգնում է, երբ արգելված բազմությունը մեծ է կամ արագ փոխվում: Փոխարենը նրան պետք է թույլատրվածի պահպանվող սահմանում, գումարած այդ սահմանմանը համապատասխանող կիրառում:
Պորտերի համարները սովորական թույլ կետն են նման սահմանման մեջ: Պորտը թույլատրելը նույնը չէ, ինչ նույնականացնել յուրաքանչյուր հավելված, որը կարող է օգտագործել այն, ուստի պորտային թույլատրելիների ցուցակը հաճախ ավելի շատ բան է թողնում, քան հեղինակը մտադիր էր: Արձանագրությունների մատնահետքերը նույն խնդիրն ունեն մեկ այլ տեսանկյունից, որովհետև նրանք նույնականացնում են երթևեկության ձևը, ոչ մտադրությունը: Այսպիսով՝ թույլատրելիների ցուցակը ինքնաբերաբար ավելի ճշգրիտ չէ, քան արգելափակմանը. այն ճշգրիտ է այլ բանի նկատմամբ:
Ինչ կարող է հիմնավորել մեկ դիտարկումը և ինչ՝ ոչ
Արգելափակման մասին ցանկացած պնդում պետք է կարդալ ձեռքի տակ չորս հարցով. որ մուտքի ցանցերը, որ նպատակակետերը, որ արձանագրությունները և որ դիտարկման ժամանակահատվածը: Այսօր մեկ բջջային ցանցում տեսած ձախողումը ոչինչ չի ասում նույն վերջնակետի մասին վաղը մեկ այլ ցանցից: Մեկ անգամ աշխատած թունելը նույնպես ոչինչ չի ասում կայուն հասանելիության մասին:
Ձախողման ձևը կարելի է դիտարկել նախքան դրա պատճառի մասին տեսություն կառուցելը: Լուռ կախումը, անմիջական մերժումը և միացումից հետո վերակայումը մատնանշում են տարբեր կիրառման ոճեր, և երկու հրահանգ բաժանում է դրանք.
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comԺամանակի սպառմամբ ավարտվող կախումը հուշում է լուռ դեն նետելու մասին, արագ մերժումը՝ ուղու վրա մերժող սարքի, իսկ միացումից հետո վերակայումը՝ վիճակով միջամտության, այլ ոչ թե բացակայող երթուղու: RFC 9505 գրաքննության տեխնիկաների ուսումնասիրությունը նկարագրում է այդ ձևերի հետևում գտնվող վերահսկիչ կետերը և միջամտության օրինաչափությունները: Սակայն նրանցից ոչ մեկը չի ասում, թե որքան լայն է քաղաքականությունը: Կայունությունը ավելի ուժեղ պնդում է, քան հասանելիությունը. վերջնակետերը, ծրագրաշարը, քաղաքականությունները և թույլատրված ծառայությունները բոլորը փոխվում են, ուստի անորոշ արդյունավետությունը պահանջում է ենթադրություններ կիրառման շարունակության մասին, այլ ոչ թե մեկ պահի տեսած հասցեների ցանկ: