Getur netkerfi blokkað VPN-ið þitt án þess að brjóta dulritunina?
Dulritun verndar efnið, ekki afhendinguna. Berið saman bannlista, heimilarlista og lokanir og spyrjið svo hvað ein athugun getur raunverulega stutt.
Ekkert rekstrarfyrirtæki þarf lotulykil til að stöðva göng: hendaðu pakkjunum á leiðinni og hún bregst, á meðan dulritunin helst nákvæmlega eins sterk og hönnun hennar lofaði. Dulritun verndar það sem samtal ber, ekki vilja nokkurs nets til að bera það. Að aðskilja þessa tvo eiginleika breytir deilu um óblokkanleika í spurningu um hvaða stefna sé í gildi og hversu langt hún nái. Samanburðurinn hér að neðan heldur framboði og trúnaði aðskildum, því flestar sjálfsöruggar fullyrðingar um VPN-blokkun sameina þau hljóðlaust.
Aðgengi er ákvörðun sem leiðin tekur
Hver flutningur er háður leið sem sendir pakka áfram, og sérhver stefnuspurning hér snýst um þá ákvörðun. Regla sem hendir pökkum breytir framboði án þess að snerta trúnað, og þannig getur göng verið gallalaus dulrituð og algjörlega ónothæf á sama augnabliki. Ekkert í þeirri niðurstöðu krefst þess að brjóta dulrit eða endurheimta lykil. Það krefst aðeins stjórnar á leiðinni.
Ruglingur byrjar venjulega á því að tveir eiginleikar deila einu orði. Sterk dulritun segir til um hver getur lesið straum; hún segir ekkert um hvort millitæki muni hleypa honum í gegn. Fullyrðingin um að ekki sé hægt að blokka VPN þarf því aðra fullyrðingu undir sér, nefnilega að enginn á leiðinni sé reiðubúinn að henda pakkunum.
Stíll framfylgdar og verð hvers
Þrír stílar ná yfir flestar raunverulegar stefnur, og þeir eru ólíkir að því hvað þeir þurfa að vita, hvað rekstur þeirra kostar og hverjir aðrir þjást. Sérhver þeirra getur hafnað göngum án þess að afkóða nokkuð. Munurinn skiptir máli því sama orðið, blokkun, er notað um alla þrjá.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Taflan er kostnaðarkort, ekki röðun. Bannlisti er ódýr í byrjun og dýr að halda nákvæmum; heimiluð listi skiptir uppgötvun fyrir viðhald á leyfða menginu, og lokun þarf enga flokkun yfirleitt. Það sem aðskilur þá er ekki tæknileg fágun heldur hvar hver þeirra leggur áframhaldandi átakið. Stefna sem virðist einföld á pappír hefur venjulega faldan viðhaldslið einhvers staðar annars staðar.
Bannlisti takmarkast af því hversu vel vistfang nefnir þjónustu
Bannlisti hafnar áfangastöðum sem þegar hafa verið auðkenndir og lætur hina vera almennt aðgengilega. Til að framfylgja honum þarf vistföng og gáttir, ekki skýran texta, og það er það sem gerir hann ódýran í rekstri í byrjun. Kostnaðurinn kemur síðar, því svið sem eitt sinn auðkenndi einn veitanda getur síðar hýst tugi ótengdra leigjenda. Sérhver vistfangabreyting neyðir fram listabreytingu, og hver úrelt færsla tekur saklausa umferð með sér.
Nákvæmni í þessu líkani takmarkast af því hversu vel áfangastaður auðkennir þjónustu, og annasöm sameiginleg endapunktur er léleg auðkenning. Þetta er byggingarleg takmörk, ekki galli í útfærslu, svo betri verkfæri fjarlægja það ekki. Það skýrir líka hvers vegna bannlistar hafa tilhneigingu til að stækka: hver nýr endapunktur virðist lítil viðbót, og aukaskemmdirnar vaxa með listanum.
Heimiluð listi færir viðhaldsbyrðina
Heimiluð listi snýr sjálfgefna gildinu þannig að aðeins fyrirfram valdir áfangastaðir eða umferðargerðir komast í gegn. Hann þarf ekki að telja upp hvern bannaðan endapunkt, sem hjálpar þegar bannaða mengið er stórt eða breytist hratt. Það sem hann þarf í staðinn er viðhaldið skilgreining á því sem er leyft, auk framfylgdar sem passar við þá skilgreiningu.
Gáttanúmer eru venjulegi veikleikinn í slíkri skilgreiningu. Að leyfa gátt er ekki það sama og að auðkenna hvert forrit sem getur notað hana, svo gáttbundinn heimiluð listi hleypir oft meiru í gegn en höfundur hans ætlaði. Auðkenni samskiptareglna hafa sama vandamál frá öðru sjónarhorni, því þau auðkenna lögun umferðar frekar en ásetning. Heimiluð listi er því ekki sjálfkrafa nákvæmari en bannlisti; hann er nákvæmur um eitthvað annað.
Hvað ein athugun getur stutt og hvað ekki
Hver fullyrðing um blokkun ætti að lesast með fjórar spurningar í höndunum: hvaða aðgangsnet, hvaða áfangastaði, hvaða samskiptareglur og hvaða athugunartímabil. Bilun sem sést í dag á einu farsímaneti segir ekkert um sama endapunkt á morgun frá öðru neti. Göng sem virkuðu einu sinni segja heldur ekkert um varanlegt aðgengi.
Hægt er að fylgjast með lögun bilunar áður en þú byggir kenningu um orsök hennar. Þögult hang, tafarlaust höfnun og endurstilling eftir tengingu benda til mismunandi framfylgdarstíla, og tvær skipanir aðgreina þau:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comHang sem endar í tímanum við bendingu um þögla höfnun, hröð höfnun bendir til höfnunartækis á leiðinni, og endurstilling eftir tengingu bendir til afskipta með ástandi frekar en skorts á leið. RFC 9505 yfirlitið um ritskoðunaraðferðir lýsir stjórnpunktunum og afskiptamynstrunum sem liggja að baki þessum formum. Ekkert þeirra segir þó hversu vítt stefnan gildir. Varanleiki er sterkari fullyrðing en aðgengi: endapunktar, hugbúnaður, stefnur og leyfðar þjónustur breytast allar, svo ótímabundin virkni krefst forsendna um áframhaldandi framfylgd en ekki lista yfir vistföng sem sáust á einu augnabliki.