Útgangs-IP VPN er ekki sönnun fyrir göngum: hvað netþjónar sjá

Einhver biður um þjónustu sem aðeins VPN-notendur komast að, og augljósa útfærslan er að leyfa lista yfir útgangsföng. Listinn gerir eitthvað raunverulegt: hann takmarkar hverjir geta tengst. Hann sannar ekki að göng hafi verið notuð, því fangið tilheyrir þeim sem rekur útganginn og sá rekstraraðili getur sent umferð hvers sem er áfram. Bilið milli þessara fullyrðinga er allt hönnunarvandamálið.

Netþjónninn sér eitt fang fyrir hverja tengingu

Tenging berst með upprunafangi og áfangahöfn, og það er allt sem netlagið greinir frá. Þegar biðlari notar göng koma pakkarnir sem ná til hlustandans þíns frá útganginum eða þýðingunni fyrir framan hann. Fang biðlarans sjálfs, venjulega einkafang, birtist aldrei. Þess vegna gerir eldveggjarregla sem skrifuð er fyrir staðarnet biðlarans ekkert sem er.

Allt eftir þetta upprunafang eru forritsgögn, og forritið getur aðeins treyst þeim að því marki sem það auðkennir þau.

Prófaðu hvernig útgangurinn þinn lítur út

Skoðaðu leiðina frá báðum endum áður en þú skrifar reglu. Sýn biðlarans á útgang sinn og sýn netþjónsins á tenginguna eru þau tvö staðreyndir sem skipta máli.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Fyrsta skipunin greinir frá opinbera fanginu sem biðlarinn birtist sem, og það er gildið sem sérhver leyfislisti verður að innihalda. Önnur sýnir stofnaðar tengingar á netþjóninum með föngum jafningjanna, og það er það sem reglan mun raunverulega passa við. Ef þau tvö stangast á við hugrænt líkan þitt, lagaðu líkanið áður en þú breytir stefnunni. Eldveggur gagnagrunns í skýi, leyfislisti forrits og hleðslujafnarinn geta hver um sig séð mismunandi þýðingarlag.

Aðeins er hægt að skrá aðra af tveimur útgangsmengjum

Annað tilvikið er prófanlegt á þeirri stundu sem beiðnin berst og hitt ekki, sem gefur mjög mismunandi ábyrgðir.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Útgangslisti Tor sem birtur hefur verið er aðgengilegur og samanburðarhæfur, háð aldri listsins og eigin stefnu hvers útgangs, svo höfnunarregla gegn þekktum útgangum er framkvæmanleg og endurskoðanleg. Ekkert jafngilt skrá er til fyrir viðskipta-VPN. Föng snúast, margir þjónustuveitendur birta ekkert, og göng geta keyrt á leigðu skýfang sem tilheyrði aldrei VPN. Listinn sem þú setur saman er skyndimynd af athuguðum föngum, og að víkka hann út til hýsingarsviða bætir ótengdum vinnuálagi án þess að bæta við sönnun.

Notaðu föng sem inntak í stefnu, ekki sem sönnun

Ákveddu við hvað reglan á að gagnast. Nettakmörkun á að halda sér þröng, skrá athugað fang með dagsetningu og ástæðu, og gefa lögmætum notendum leið til að ná sér þegar útgangur þeirra breytist. Aðgangsstýring þarf auðkenndan reikning eða undirritað tákn, því aðeins þau binda beiðni við auðkenni. Áhættumat getur notað fangið sem eitt óáreiðanlegt merki og samþykkt rangar jákvæðar niðurstöður þess og blinda bletti. Að skrifa regluna sem vörðuákvörðun er heiðarlegt; að skrifa hana sem sannprófun á að göng séu til er það ekki.

Spegilbeiðnin, að endurheimta raunverulegt fang notandans bak við VPN, mistekst af sömu ástæðu: ein tenging ber eitt fang, og breyting milli lota er í samræmi við nokkrar skýringar. Meðhöndlaðu fyrra gildið sem sögu, ekki sem sannleika.