Ինչ կարող է և ինչ չի կարող տեսնել կորպորատիվ firewall-ը VPN-ի ներսում

Նույն նոթբուքը տնից հասնում է VPN-ին և գրասենյակից չի կարողանում միանալ, ուրեմն ինչ-որ մեկը կարդում է թրաֆիկը։ Արգելափակելը և կարդալը տարբեր լիազորություններ են, և միայն երկրորդին է պետք ուղու վրա գտնվող կետ՝ գումարած վկայական, որին հավատում է հաճախորդը։ Միջանկյալ արկղը, որը գցում է ձեր ձեռքսեղմումը, ոչինչ չի սովորել այն մասին, ինչ դուք կուղարկեիք։ Որոշելը, թե այս երկուսից որի հետ գործ ունեք, ամբողջ աշխատանքն է։

Արգելափակելը և կարդալը տարբեր լիազորություններ են

Մերժումը էժան է և աղմկոտ: սոկետը բացվում է և ոչինչ չի պատասխանում, կամ անմիջապես գալիս է վերակայում։ Դրանցից ոչ մեկը ստուգում չի նշանակում, որովհետև ոչ մի բեռ չի անցել լարով։

Կարդալու համար պետք է վերջնակետ, որը վերջացնում է պաշտպանությունը, վկայականով հաստատում է իրեն և առաջ նոր կապ սկսում։ Այդ կետը պետք է լինի ուղու վրա և վայելի հաճախորդի վստահությունը։ Firewall-ը, որը միայն փոխանցում է փաթեթները, չունի ոչ դիրք, ոչ էլ լիազորագիր։

Ինչ է փաթաթանը ձրի տալիս

Յուրաքանչյուր թունելի փաթեթ ունի արտաքին կողմ, և արտաքինը պետք է լինի երթուղելի։ Դա նշանակում է երկու հասցե, արձանագրություն, պորտ և երկարություն, ինչպես նաև ժամանակ և ծավալ։ Ցանկացած երթուղիչ արդեն զբաղվում է այդ դաշտերով, և NAT-ը վերագրում է հասցեն ու պորտը, որպեսզի նրա քարտեզագրման աղյուսակը հետևողական մնա։ Բեռը մնում է կնքված, ուստի դիտարկումը կանգ է առնում այն փաստի վրա, որ երկու հոսթերի միջև թունել կա։

Հոսթի անունը դրանց մեջ չէ։ Կայքերը արտահոսում են այլ դռներով, և ամենալայնը DNS-ն է: եթե նոթբուքը դեռ հարցնում է տեղական լուծիչին, անունները երևում են բացահայտ։

Ժամանակը և ծավալը արժանի են հարգանքի՝ առանց չափազանցության։ Բայթ րոպեում կարող են ցույց տալ, որ մեծ փոխանցումը սկսվում է 14:20-ին, բայց չեն կարող ցույց տալ, թե որ ֆայլը շարժվեց։ Դա վարքի մասին իրական բացահայտում է և այլ կատեգորիա, քան բովանդակություն կարդալը։

TLS ընդհատումը պահանջում է արմատ, որին դուք արդեն հավատում եք

Ստուգող սարքը TLS-ը չի կոտրում, այլ ավարտում է այն։ Հաճախորդին պատասխանում է կազմակերպությանը պատկանող արմատից վկայական, և երկրորդ կապը գնում է իրական նպատակակետ։ Հաճախորդը դա ընդունում է, որովհետև այդ արմատը նրա վստահության պահոցում է, դրա համար կառավարվող նոթբուքը ոչ մի նախազգուշացում չի ցուցադրում։ Գաղտնագրությունը երբեք չի պարտվել. վերջնակետը տեղափոխվեց։

Ահա թե ինչու այս դասավորությունը ապացույց է թողնում։ Ներկայացված շղթայի թողարկողը պատկանում է կազմակերպությանը, ոչ թե հանրային CA-ին, և հաճախորդը կարող է դա տեսնել առանց հատուկ գործիքների։ Ներքին արմատով ավարտվող շղթան ընդհատման ստորագրությունն է, ոչ թե անսարքություն։

Ինչու VPN ալիքը HTTPS նստաշրջան չէ

VPN-ի տվյալների ալիքը ստուգողին այդպիսի հենարան չի տալիս։ IKEv2-ը և WireGuard-ը վարում են իրենց ձեռքսեղմումներն ու բանալիների գրաֆիկները՝ առանց ավարտելու ենթակա TLS-ի, մինչդեռ OpenVPN իր կառավարման ալիքի համար TLS է վերցնում փոփոխված ձևով, նախքան տվյալները իր ձևով պաշտպանելը։ HTTPS-ի համար կառուցված պրոքսին այդ նստաշրջանը չի ճանաչում որպես մի բան, որ կարող է վերլուծել։

Սարքը, որը չի կարող վերլուծել նստաշրջանը, այնուամենայնիվ կարող է գցել այն։ Դրա համար էլ VPN-ի արգելափակումը սովորաբար նման է ժամկետի սպառման, ոչ թե վկայականի նախազգուշացման, և դրա համար էլ բացառությունը ոչինչ չի փոխում։

Ստուգեք ձեր սեփական մեքենայից

Սկսեք այն շղթայից, որը ներկայացնում է կայքը։ Դիտարկիչի կայքի մանրամասները ցույց են տալիս թողարկողին, և հրամանի տողը հաղորդում է նույնը՝ առանց ամփոփման:

openssl s_client -connect example.com:443 -servername example.com

Այնուհետև հաշվիչներով առանձնացրեք մերժված ձեռքսեղմումը զտված ներքին թրաֆիկից։ Գրանցեք տրանսպորտային պորտը ցանկացած գցման կանոնից առաջ և կարդացեք դրանք փորձից հետո:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Արտաքին սոկետում գրանցման տողի բացակայությունը նշանակում է, որ ձեռքսեղմումը երբեք դուրս չի եկել, ուստի ուղին մերժում է թունելը։ Ավարտված ձեռքսեղմում, երբ ձախողվում են միայն որոշ նպատակակետեր, նշանակում է, որ թունելը աշխատում է, իսկ ներսի քաղաքականությունը՝ ոչ։ Արդյունքներից ոչ մեկը չպահանջեց կարդալ բեռի մեկ բայթ։

Իսկական ընթերցումը տեղի է ունենում եզրերին. բաժանված թունելը ներքին HTTPS-ը հանձնում է կորպորատիվ պրոքսիին, և գործատուի սեփականությունը հանդիսացող կենտրոնացուցիչը ելքում ամեն ինչ բացահայտում է։ Ինչ էլ գտնեք, մի անջատեք վկայականի ստուգումը՝ կապ պարտադրելու համար, որովհետև այդ ստուգումն է միակը, որ բաժանում է ստուգումը հարձակվողից։