VPN կամ վստահված սերվեր՝ ինչ է ծածկում յուրաքանչյուրը, ինչ՝ ոչ
VPN-ը ծածկում է երթուղավորված հավելվածների թրաֆիկը, իսկ վստահված սերվերը՝ միայն այն հավելվածը, որը դուք եք կարգավորում։ Նախքան ընտրելը ստուգեք ծածկույթը, գաղտնագրումը, DNS-ը և ձախողման վարքը։
Ե՛վ VPN-ը, և՛ առաջադիր վստահված սերվերը փոխում են այն հասցեն, որը տեսնում է կայքը, և հենց այստեղ են ավարտվում համեմատությունների մեծ մասը։ Ձեր կարգավորումը որոշող տարբերությունը ծածկույթն է՝ առաջադիր վստահված սերվերը միջնորդ է, որն օգտագործելը ձեր հավելվածն ինքն է ընտրում, ի տարբերություն կայքի դիմաց կանգնած հակադարձ վստահված սերվերի, իսկ VPN-ը տեղափոխում է այն ամենը, ինչ օպերացիոն համակարգը երթուղավորում է թունել։ Գաղտնագրումը, DNS-ի հետ աշխատանքը և ձախողման վարքը բխում են այդ բաժանումից։ Կատարեք այս հինգ ստուգումները հերթականությամբ, և առաջին ձախողվածը կասի, թե որ գործիքն է ձեզ իրականում պետք։
Ո՞ր հավելվածներն է ծածկում միջնորդը։
Բրաուզերի վստահված սերվերի ընդլայնումը գործում է միայն այդ բրաուզերի պրոֆիլի համար։ Փոստային ծրագրերը, փաթեթների կառավարիչները և երկրորդ բրաուզերը շարունակում են օգտագործել իրենց կարգավորումները, և որոշ հավելվածներ լիովին անտեսում են համակարգի վստահված սերվերի փոփոխականները։ VPN-ը ծածկում է այն, ինչ երթուղավորման աղյուսակն ուղարկում է թունել, և դա կարող է լինել բոլոր հավելվածները կամ բաժանված թունելի դեպքում ենթաբազմություն՝ կախված երթուղիներից և հաճախորդի քաղաքականությունից։
Փորձարկեք կարևոր հավելվածները՝ մեկ էջի բեռնումից ընդհանրացնելու փոխարեն։ curl https://ifconfig.me-ը հետևում է միջավայրի վստահված սերվերի փոփոխականներին, սակայն աշխատասեղանի հավելվածը կարող է չհետևել։ Windows-ում netsh winhttp show proxy-ն արտածում է WinHTTP վստահված սերվերը, որն օգտագործում են ծառայությունները, և դա բրաուզերի կարգավորումից տարբեր կարգավորում է։
Արդյո՞ք ցատկը գաղտնագրված է, և որտե՞ղ է ավարտվում TLS-ը։
Վստահված սերվերի արձանագրությունը հանդիպման վայր է, ոչ երաշխիք։ SOCKS5-ը փոխանցում է TCP-ն առանց գաղտնագրելու, իսկ սովորական HTTP վստահված սերվերը կրում է հարցման տողը և վերնագրերը բաց տեքստով։ HTTPS-ը վստահված սերվերի միջով օգտագործում է CONNECT, ուստի ձեր TLS սեսիան դեռ ավարտվում է նպատակակետում, ոչ թե վստահված սերվերում։ MDN-ի ուղեցույցը վստահված սերվերների և թունելավորման մասին նկարագրում է այդ տարբերությունը արձանագրության կողմից։
VPN-ը գաղտնագրում է ձեր սարքի և դրա վերջնակետի միջև ընկած հատվածը։ Վերջնակետից այն կողմ գործում են նույն կանոնները, ինչ ցանկացած այլ ցանցում, և դրա համար էլ միայն թունելը չի պաշտպանում այն հավելվածը, որը սովորական HTTP-ով հավատարմագրեր է ուղարկում։ Նախագծերից ոչ մեկը չի թաքցնում մուտք գործած հաշիվը, cookie-ն կամ բրաուզերի մատնահետքը։
curl -v -x http://127.0.0.1:3128 https://example.com/ -o /dev/null
curl -v -x socks5h://127.0.0.1:1080 https://example.com/ -o /dev/nullՄանրամասն արտածումը ցույց է տալիս՝ curl-ը CONNECT է ուղարկել 443 պորտին, թե լրիվ URL-ով սովորական GET։ socks5h://-ի դեպքում հոսթի անունը վստահված սերվերին տրվում է SOCKS5 հարցման ներսում, այնուհետև նա վերահաղորդում է TLS, որը չի կարող կարդալ, ուստի տեսնում է անունը և բայթերի քանակը։ http:// վստահված սերվերի միջով https:// URL-ը CONNECT է, ուստի այդ սերվերը նույնպես տեսնում է նպատակակետի անունը և ծավալը, բայց ոչ հարցումը կամ պատասխանի մարմինը։
Ո՞ր լուծիչն է տեսնում անունը։
Անունների լուծումը կարող է տեղի ունենալ տեղայնորեն, նախքան հարցումը դուրս կգա, կամ հեռավոր կերպով՝ վստահված սերվերում։ curl-ի դեպքում socks5h://-ը հոսթի անունն ուղարկում է վստահված սերվերին, մինչդեռ socks5://-ը նախ լուծում է այն տեղայնորեն։ Բրաուզերի վստահված սերվերի կարգավորումները համադրելի DNS տարբերակ են առաջարկում, և PAC ֆայլերը կարող են տարբեր հոսթեր տարբեր կերպ երթուղավորել։
Երկու արձանագրություն կարող են շրջանցել վստահված սերվերը՝ առանց որևէ սխալ կարգավորման։ WebRTC-ն թեկնածուներ է հավաքում STUN-ի միջոցով, իսկ QUIC-ը HTTP/3-ը գործարկում է UDP-ի վրա, ինչը TCP վստահված սերվերը չի կարող կրել։ Եթե UDP 443-ը արգելափակված է, բրաուզերը կվերադառնա TCP-ի, ուստի UDP 443-ի արգելափակումը հոսթի firewall-ում (կամ ամբողջ ցանցի համար երթուղիչում), այլ ոչ թե բրաուզերի դրոշակը, HTTP/3-ը վստահված սերվերի ուղու մեջ պահելու հուսալի միջոցն է։
Ստուգեք լուծիչը նպատակակետի տեսանկյունից, ոչ թե ձեր նոթբուքի։ Հարցումը, որը գալիս է վստահված սերվերի ելքի հասցեով, բայց տեղայնորեն լուծված անունով, դեռևս տեղական լուծիչին ասում է, թե որ կայքերն եք այցելում։
Ի՞նչ է տեղի ունենում, երբ միջնորդը ձախողվում է։
Բացահայտ վստահված սերվերը ձախողվում է փակ վիճակում՝ դադարեցրեք վստահված սերվերի գործընթացը, և բրաուզերը կամ հավելվածը միացման սխալ կվերադարձնի՝ ուղիղ գնալու փոխարեն։ PAC-ի և WPAD-ի կարգավորումներն են, որ ձախողվում են բաց վիճակում՝ եթե սկրիպտը հնարավոր չէ ստանալ, հաճախորդը վերադառնում է DIRECT-ին, և կայքը կրկին տեսնում է ձեր իրական հասցեն։ VPN-ը կարող է ձախողվել բաց կամ փակ վիճակում՝ կախված հաճախորդից և նրանից, թե արդյոք ակտիվ է անջատիչը կամ firewall-ի կանոնը։
Փորձարկեք ձախողման դեպքը դիտավորյալ՝ դադարեցրեք վստահված սերվերի ծառայությունը և վերաբեռնեք․ եթե ուղիղ բեռնման փոխարեն սխալի էջ եք ստանում, PAC-ի URL-ը ուղղեք անհասանելի հոսթի՝ հետադարձը տեսնելու համար։ Եթե էջը դեռ բեռնվում է ձեր սովորական երթուղով, վստահված սերվերը ոչ մի պաշտպանություն չի առաջարկում սեփական խափանումից, և դա հատկություն է, որ պետք է իմանաք դրա վրա հենվելուց առաջ։
Հերթականությունը որոշում է, թե կայքն ինչ է տեսնում։ Վստահված սերվերը, որի ելքային թրաֆիկը անցնում է VPN-ով, կայքին թողնում է տեսնելու VPN-ի վերջնակետի հասցեն․ վստահված սերվերը դրեք թունելից դուրս (VPN դեպի հեռավոր հոսթի վստահված սերվեր), և կայքը փոխարենը կտեսնի այդ սերվերի ելքի հասցեն։ Երկու դեպքում էլ երկու ցատկերը կարող են տարբեր բաներ գրանցել։
Հինգ ստուգում՝ հերթականությամբ
Ստորև բերված ստուգաթերթը ամբողջ որոշումն է մեկ տեղում։ Ծածկույթը առաջինն է, որովհետև այն վերացնում է անհամապատասխանությունների մեծ մասը․ եթե այն հավելվածը, որը պետք է ծածկվի, չի հարգում կարգավորումը, ցանկի հետագա ոչինչ չի փրկի այն։
| Check | Forward proxy | VPN |
|---|---|---|
| What is covered | The app or browser you configure | Traffic the OS routes into the tunnel, all or split |
| Encryption scope | Protocol-dependent; SOCKS5 alone encrypts nothing | Device to VPN endpoint |
| DNS path | Local or remote, depending on the setting | Normally inside the tunnel |
| Failure mode | Explicit config: connection error; PAC/WPAD: DIRECT fallback | Client policy: fail-open or kill switch |
| What the site sees | The proxy's exit address | The VPN endpoint's exit address |
Այնուհետև հաստատեք արդյունքը այն հավելվածով, որը պատճառ դարձավ փոփոխության։ Բեռնեք էջ կարգավորված բրաուզերում, ստացեք նույն էջը curl-ով և համեմատեք յուրաքանչյուրի հաղորդած հասցեն։ Եթե դրանք չեն համընկնում, ապա դեռ գործում է ընդլայնում, PAC կանոն կամ հավելվածի մակարդակի վերակարգավորում, և թունելի ոչ մի լարում դա չի ուղղի։
Գրառեք, թե ինչ եք կարգավորել․ որ հավելվածներն են օգտագործում վստահված սերվերը, DNS-ը տեղայի՞ն է, թե հեռավոր, արգելափակվա՞ծ է UDP-ն, և որն է ձախողման վարքը։ Հենց այդ փոքր գույքագրումն է հնարավոր դարձնում հաջորդ համեմատությունը, որովհետև «IP-ն փոխվել է» արտահայտությունը երբեք չասաց, թե այս հինգ ստուգումներից որն է անցել։