IP keluar VPN bukan bukti terowongan: apa yang dilihat server

Seseorang meminta layanan yang hanya dapat dijangkau pengguna VPN, dan implementasi yang jelas adalah mengizinkan daftar alamat keluar. Daftar itu melakukan sesuatu yang nyata: ia membatasi siapa yang dapat terhubung. Daftar itu tidak membuktikan bahwa terowongan digunakan, karena alamat itu milik siapa pun yang mengoperasikan keluar, dan operator tersebut dapat meneruskan lalu lintas siapa saja. Kesenjangan antara kedua pernyataan itu adalah seluruh masalah desain.

Server melihat satu alamat per koneksi

Sebuah koneksi datang dengan alamat sumber dan port tujuan, dan itulah semua yang dilaporkan lapisan jaringan. Ketika klien menggunakan terowongan, paket yang mencapai pendengar Anda datang dari keluar atau dari terjemahan di depannya. Alamat klien sendiri, biasanya privat, tidak pernah muncul. Karena itu, aturan tembok api yang ditulis untuk rentang LAN klien tidak melakukan apa pun.

Segala sesuatu setelah alamat sumber itu adalah data aplikasi, dan aplikasi hanya dapat memercayainya sejauh ia mengautentikasinya.

Uji bagaimana keluar Anda terlihat

Lihat jalur dari kedua ujung sebelum menulis aturan. Pandangan klien tentang keluarnya dan pandangan server tentang koneksi adalah dua fakta yang penting.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Perintah pertama melaporkan alamat publik yang tampak dari klien, dan itulah nilai yang harus dimuat setiap daftar izin. Perintah kedua menunjukkan koneksi yang sudah terjalin di server beserta alamat rekan mereka, dan dengan itulah aturan akan benar-benar cocok. Jika keduanya tidak sesuai dengan model mental Anda, perbaiki model itu sebelum menyunting kebijakan. Tembok api basis data awan, daftar izin aplikasi, dan penyeimbang beban masing-masing dapat melihat lapisan terjemahan yang berbeda.

Hanya satu dari dua himpunan keluar yang dapat didaftar

Satu kasus dapat diperiksa pada saat permintaan dan yang lain tidak, yang menghasilkan jaminan sangat berbeda.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Daftar keluar Tor yang diterbitkan dapat diambil dan dibandingkan, tergantung usia daftar dan kebijakan setiap keluar, sehingga aturan penolakan terhadap keluar yang dikenal dapat ditegakkan dan ditinjau. Tidak ada registri setara untuk VPN komersial. Alamat berputar, banyak penyedia tidak menerbitkan apa pun, dan terowongan dapat berjalan pada alamat awan sewaan yang tidak pernah menjadi milik VPN. Daftar yang Anda susun adalah cuplikan alamat yang diamati, dan memperluasnya ke rentang hosting menambah beban kerja yang tidak terkait tanpa menambah bukti.

Gunakan alamat sebagai masukan kebijakan, bukan sebagai bukti

Putuskan untuk apa aturan itu. Pembatasan jaringan harus tetap sempit, mencatat alamat yang diamati beserta tanggal dan alasannya, dan memberi pengguna sah jalur pemulihan ketika keluar mereka berubah. Kontrol akses membutuhkan akun terautentikasi atau token bertanda tangan, karena hanya itu yang mengikat permintaan pada identitas. Penilaian risiko dapat menggunakan alamat sebagai satu sinyal tidak andal, dengan menerima positif palsu dan titik butanya. Menulis aturan sebagai keputusan produk itu jujur; menulisnya sebagai verifikasi bahwa terowongan ada bukan.

Permintaan cermin, memulihkan alamat asli pengguna di balik VPN, gagal karena alasan yang sama: satu koneksi membawa satu alamat, dan perubahan antar sesi konsisten dengan beberapa penjelasan. Perlakukan nilai sebelumnya sebagai sejarah, bukan sebagai kebenaran.