Apa yang bisa dan tidak bisa dilihat firewall korporat di dalam VPN

Laptop yang sama mencapai VPN dari rumah dan tidak bisa terhubung dari kantor, jadi seseorang pasti sedang membaca lalu lintasnya. Memblokir dan membaca adalah dua kuasa yang terpisah, dan hanya yang kedua membutuhkan titik di jalur plus sertifikat yang dipercaya klien. Kotak tengah yang membuang jabat tangan Anda tidak mempelajari apa pun tentang yang akan Anda kirim. Memutuskan mana dari keduanya yang Anda hadapi adalah seluruh pekerjaannya.

Memblokir dan membaca adalah kuasa yang berbeda

Penolakan itu murah dan berisik: soket terbuka dan tidak ada yang menjawab, atau reset datang seketika. Tidak satu pun dari itu berarti inspeksi, karena tidak ada muatan yang menyeberangi kabel.

Membaca membutuhkan titik akhir yang mengakhiri perlindungan, membuktikan dirinya dengan sertifikat, dan memulai koneksi baru ke depan. Titik itu harus berada di jalur dan dipercaya oleh klien. Firewall yang hanya meneruskan paket tidak punya posisi maupun kredensial.

Apa yang diberikan pembungkus secara gratis

Setiap paket terowongan punya sisi luar, dan sisi luar itu harus bisa dirutekan. Berarti dua alamat, satu protokol, satu port, dan satu panjang, ditambah waktu dan volume. Router mana pun sudah menangani bidang itu, dan NAT menulis ulang alamat serta port agar tabel pemetaannya tetap konsisten. Muatan tetap tersegel, jadi pengamatan berhenti pada fakta bahwa ada terowongan antara dua host.

Nama host tidak termasuk di dalamnya. Situs bocor lewat pintu lain, dan yang paling lebar adalah DNS: jika laptop masih bertanya ke resolver lokal, nama-namanya muncul terbuka.

Waktu dan volume pantas dihormati tanpa dibesar-besarkan. Byte per menit dapat menunjukkan bahwa transfer besar mulai pukul 14:20; mereka tidak dapat menunjukkan file mana yang berpindah. Itu pengungkapan nyata tentang perilaku, dan kategori berbeda dari membaca isi.

Intersepsi TLS membutuhkan akar yang sudah Anda percaya

Perangkat pemeriksa tidak memecahkan TLS; ia mengakhirinya. Klien dijawab oleh sertifikat dari akar yang dimiliki organisasi, dan koneksi kedua menuju tujuan sebenarnya. Klien menerimanya karena akar itu ada di penyimpanan kepercayaannya, itulah sebabnya laptop terkelola tidak menampilkan peringatan. Kriptografi tidak pernah dikalahkan; titik akhirnya yang dipindahkan.

Karena itu pula pengaturan ini meninggalkan bukti. Penerbit pada rantai yang disajikan milik organisasi, bukan CA publik, dan klien dapat melihatnya tanpa perkakas khusus. Rantai yang berakhir di akar internal adalah tanda tangan intersepsi, bukan kerusakan.

Mengapa kanal VPN bukan sesi HTTPS

Kanal data VPN tidak memberi pemeriksa pijakan semacam itu. IKEv2 dan WireGuard menjalankan jabat tangan serta jadwal kunci mereka sendiri, tanpa TLS untuk diakhiri, sedangkan OpenVPN meminjam TLS untuk kanal kendalinya dalam bentuk yang dimodifikasi sebelum melindungi data dengan caranya sendiri. Proksi yang dibangun untuk HTTPS tidak mengenali sesi itu sebagai sesuatu yang bisa diurainya.

Perangkat yang tidak bisa mengurai sesi tetap bisa membuangnya. Itulah sebabnya pemblokiran VPN biasanya tampak seperti waktu habis, bukan peringatan sertifikat, dan itulah sebabnya pengecualian tidak mengubah apa pun.

Periksa dari mesin Anda sendiri

Mulailah dari rantai yang disajikan situs. Detail situs di peramban menunjukkan penerbitnya, dan baris perintah melaporkan hal yang sama tanpa ringkasan:

openssl s_client -connect example.com:443 -servername example.com

Lalu pisahkan jabat tangan yang ditolak dari lalu lintas dalam yang tersaring dengan penghitung. Catat port transport sebelum aturan buang apa pun dan bacalah setelah percobaan:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Tidak ada baris log pada soket luar berarti jabat tangan tidak pernah keluar, jadi jalur itu menolak terowongannya. Jabat tangan yang selesai dengan hanya sebagian tujuan gagal berarti terowongannya bekerja dan kebijakan di dalamnya tidak. Tak satu pun hasilnya memerlukan pembacaan satu byte muatan.

Pembacaan yang benar-benar terjadi duduk di tepian: terowongan terpisah menyerahkan HTTPS internal ke proksi korporat, dan konsentrator milik pemberi kerja memaparkan segalanya di pintu keluar. Apa pun yang Anda temukan, jangan matikan verifikasi sertifikat untuk memaksakan koneksi, karena pemeriksaan itulah satu-satunya yang memisahkan inspeksi dari penyerang.