გადამისამართებული VPN პორტი: რას ხედავენ ვიზიტორები და პროვაიდერი

პორტის გადამისამართება უცხო ადამიანებს აძლევს მარშრუტს სერვისამდე პროვაიდერის საჯარო მისამართის გავლით. ეს ერთი ცვლილება ერთდროულად ზემოქმედებს გამოვლენადობასა და ამოცნობადობაზე და არც ერთი მათგანი არ აქვეყნებს იმ ადამიანის სახელს, ვინც სერვისს მართავს. ორივეს განცალკევება თავიდან გვაცილებს საპირისპირო შეცდომებს: 'გადამისამართება' ანონიმურობად მივიჩნიოთ და ის იდენტიფიკაციად მივიჩნიოთ. სამი კითხვა მათ სუფთად ჰყოფს და პასუხები სხვადასხვა მტკიცებულებიდან მოდის.

სამი ობიექტი, სამი განსხვავებული კითხვა

საჯარო მისამართი გამოყავით იმ აპლიკაციისგან, რომელიც მის უკან პასუხობს, და ორივე გამოყავით იმ პირისგან ან ორგანიზაციისგან, ვინც ამ საქმეს მართავს. თითოეულს თავისი აუდიტორია და თავისი მტკიცებულება აქვს. მათი შერევა იძლევა დასკვნებს, რომლებიც მოწესრიგებულად ჟღერს და მცდარია.

გაიარეთ ისინი ამ თანმიმდევრობით. პირველი ხელმისაწვდომობის კითხვაა, მეორე აპლიკაციის იდენტურობის კითხვაა, ხოლო მესამე მიკუთვნების კითხვაა, რომელზეც პირველი ორი მხოლოდ ნაწილობრივ გვიჩვენებს შუქს. როცა ვინმე კითხულობს, პორტის გადამისამართება პირადია თუ არა, ჰკითხეთ, სამიდან რომელი აქვს მხედველობაში. პასუხები ნამდვილად განსხვავდება და პოლიტიკის გვერდი ჩვეულებრივ მხოლოდ ერთ მათგანს განიხილავს.

რისი დაკავშირება შეუძლია ვიზიტორს ბოლო წერტილებს შორის

ვიზიტორი უკავშირდება ბოლო წერტილს და ხედავს იმას, რასაც აპლიკაცია კანონიერად წარმოადგენს: 'ჰოსტის სახელი', სერტიფიკატის სახელი, შესვლის გვერდი, გამოქვეყნებული შიგთავსი. ეს დეტალები სერვისს იდენტიფიცირებს მაშინაც, როცა მისი ჩვეული მისამართი გვირაბის უკან იმალება. ორი ბოლო წერტილი, რომლებიც ერთსა და იმავე დასახელებულ საიტს წარმოადგენენ, დამკვირვებლებს საფუძველს აძლევს მათ დაკავშირებისთვის. ამ ქცევაში არაფერია გაჟონვა, რადგან აპლიკაცია შექმნილია იმისთვის, რომ ჩანდეს.

სერტიფიკატების, გადამისამართებებისა და გვერდის შიგთავსის დამთხვევა ორ ბოლო წერტილს შორის ძლიერი სიგნალია, რომ ისინი ერთ სერვისს ეკუთვნის. ეს რჩება სერვისზე განაცხადად და არა ადამიანზე, ვიდრე სხვა ჩანაწერი დააკავშირებს ორივეს.

IETF-ის კონფიდენციალურობის სახელმძღვანელო აღწერს, როგორ აძლევს მუდმივი იდენტიფიკატორები საშუალებას ურთიერთქმედებები დროში დაკავშირდეს. კორელაცია მიკუთვნება არ არის, რადგან ერთ სერვისს რამდენიმე ადამიანი შეიძლება მართავდეს და მისამართი შეიძლება გადავიდეს დაუკავშირებელ აბონენტებს შორის. სწორედ ეს განსხვავება უშლის ხელს კორელაციის დასკვნის ბრალდებად გადაქცევას.

რა უნდა იცოდეს გადამისამართების პროვაიდერმა

შემავალი კავშირის მისაწოდებლად პროვაიდერის სისტემამ უნდა შეინარჩუნოს აქტიური კავშირი საჯარო შესვლის წერტილსა და შიდა დანიშნულებას შორის. ეს ოპერაციული ფაქტი განსხვავდება იმისგან, რასაც ვიზიტორი ხედავს, და კვლავ განსხვავდება იმისგან, რის შენახვასაც პროვაიდერი ირჩევს. ორი კითხვა ცალკე შეინახეთ, როცა პოლიტიკის გვერდს კითხულობთ, რადგან ერთი გარდაუვალია, მეორე კი გადაწყვეტილება. განაცხადი, რომ დათვალიერების ისტორია არ ინახება, არაფერს ამბობს რუკების ისტორიაზე.

გრძელდება თუ არა ისტორიული რუკები, ანგარიშის კავშირები თუ კავშირის ჩანაწერები, ეს პროვაიდერის ფაქტობრივი პოლიტიკისა და განხორციელების კითხვაა. გადამისამართება არ ამტკიცებს, რომ ყველა კატეგორია იწერება. კონკრეტულად ჰკითხეთ, რომელი ველები რჩება რუკის გაუქმების შემდეგ და რამდენ ხანს.

შემავალი ხელმისაწვდომობა განცალკევებულია კლიენტის გამავალი მარშრუტიზაციისგან, DNS-ისგან და წარუმატებლობის ქცევისგან. რუკის დამატება არ აღწერს, როგორ გადის კლიენტის დარჩენილი ტრაფიკი.

რამდენ ხანს გრძელდება რუკა, ცვლის გამოვლენადობას

რუკა შეიძლება გაგრძელდეს სესიის განმავლობაში, ჯავშნისთვის ან პროვაიდერის პოლიტიკის მიხედვით, რომელიც მას ცვლის. არ უნდა ვივარაუდოთ არც მუდმივი მინიჭება და არც მუდმივი როტაცია; წაიკითხეთ პროდუქტის დოკუმენტირებული ქცევა და ჩაწერეთ ის, რასაც აკვირდებით. ერთი კვირის ინტერვალით ორი დაკვირვება 'როტაციაზე' მეტს ამბობს, ვიდრე პროდუქტის გვერდის ნებისმიერი მარკეტინგული წინადადება. დაფიქსირებული ინტერვალი ჩაწერეთ ბოლო წერტილის გვერდით თქვენს ჩანაწერებში, რადგან ინტერვალი გამოვლენადობის ნაწილია.

სიცოცხლის ხანგრძლივობა ცვლის იმას, თუ როგორი კორელაციაა შესაძლებელი. სტაბილური ბოლო წერტილი ერთი სერვისის გრძელვადიან თვალთვალს იწვევს, ხოლო მბრუნავი ყოველ დაკვირვებას წინასთან დაკავშირებას ართულებს. არც ერთი თვისება არ არის გარანტია პროვაიდერის ჩანაწერებზე და არც ერთი არ ცვლის იმ გადაწყვეტილებას, თუ რას აქვეყნებს თავად სერვისი.

გამოაქვეყნეთ განზრახ და შემდეგ დახურეთ ორივე კარი

დაადასტურეთ, რომ პროვაიდერი ნებას გაძლევთ საჭირო პროტოკოლზე, რომ სამიზნე მსმენელი სწორედ ის არის, რაც გულისხმობდით, და რომ ჰოსტისა და აპლიკაციის კონტროლი კვლავ ზღუდავს წვდომას. გამოქვეყნებამდე შეხედეთ, რას წარუდგენს სერვისი უცხო ადამიანს. ეს ორი ბრძანება აჩვენებს სერტიფიკატსა და სათაურებს, რომლებსაც ვიზიტორი იღებს.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

რაღაცის გამოქვეყნება არ ამართლებს მისი მართვის გვერდების გამოვლენას ან აპლიკაციის შესვლის მიტოვებას, და თარგმანი არ აძლევს TLS-ს იმ სერვისს, რომელსაც ის არასოდეს ჰქონია. შეინარჩუნეთ დაშიფრული პროტოკოლი და მისი სერვერის იდენტურობის შემოწმებები ადგილზე, მიუხედავად იმისა, როგორ მოდის ტრაფიკი. შემდეგ შეამოწმეთ პასუხის სათაურები, რადგან 'ბანერი' ან გამართვის გვერდი უცხოს მეტს შეიძლება უთხრას, ვიდრე სერვისი გულისხმობს. რასაც ორი ბრძანება აბრუნებს, იგივე ხედია, რასაც დამკვირვებელი იღებს.

სერვისის შეწყვეტა ნიშნავს ორ დახურვას და არა ერთს: გააუქმეთ რუკა მისი მფლობელის მეშვეობით, შემდეგ მსმენელსა და უფლებას ცალკე პუნქტებად მიუდექით. სანიშნეში შენახული ბოლო წერტილი, რომელიც პასუხს წყვეტს, არ აუქმებს სერტიფიკატს და არ აბრუნებს უკვე მიწოდებულ ინფორმაციას.