Onion სერვისი VPN სერვისის წინააღმდეგ: წვდომის სხვადასხვა მოდელი

ადამიანები Onion სერვისსა და მხოლოდ VPN-ით ხელმისაწვდომ სერვისს ერთი და იმავე იდეის ორ ვარიანტად აწსერენ: დამალე პორტი, გააზიარე საიდუმლო მისამართი. ისინი განსხვავდებიან იმით, რაზეა მისამართი მიბმული, ვის შეუძლია მასთან მისვლა და რა უნდა მოხდეს მოთხოვნის მოსვლამდე. ერთი Tor-ის შიგნით შეხვედრის ადგილია, მეორე — გზა კერძო ქსელში. მათი ურთიერთშემცვლელად მოპყრობა ქმნის ისეთ გადაწყვეტებს, რომლებიც არც კერძოა და არც შენახვადი.

მითი: ორივე გადაწყვეტა უბრალოდ დამალული კარია

საერთო თვისება რეალურია, მაგრამ თხელი: არც ერთი გადაწყვეტა არ აყენებს ადმინისტრაციულ ინტერფეისს უშუალოდ ხელმისაწვდომ საჯარო პორტზე. დანარჩენი ყველაფერი იშლება. Onion მისამართი სერვისის საკუთარი გასაღებიდან მიიღება, ამიტომ სახელი იდენტობაზეა მიბმულია; VPN მისამართი უბრალოდ მისამართია ქსელში, სადაც შეგიშეს. ერთი მალავს სერვისს გადაფარვის ფენში, მეორე გზის უფლებას გაგაზდებთ კერძო ტოპოლოგიაში. მეორეს პირველის სინონიმად მიჩნევა სწორედ დაბნეულობის დასაწყისია.

არც ერთი თვისება არ არის უსაფრთხოების კონტროლი თავად აპლიკაციისთვის. დამალული ადგილი არ ასწორებს მის უკან არსებულ პროგრამულ უზრუნველყოფას, კერძო გზა კი შესვლის გვერდს ავთენტიფიკაციას არ უმატებს. ორივე გადაწყვეტას კვლავ სწირდება აპლიკაციის საკუთარი ნებართვები და ორივეს კვლავ სწირდება ვიღაც, ვინც განახლებზე და აღდგენაზეა პასუხისმგებელია.

რაზე მიუთითებს Onion მისამართი სინამდვილში

Onion მისამართი v3 ვერსიაში კოდირებს სერვისის საჯარო გასაღებს, ამიტომ ვერავინ აირჩევს მისამართს იმ სერვისისთვის, რომელსაც არ აკონტროლებს. კლიენტი Tor-ის მეშვეობით უკავშირდება შეხვედრის წერტილს და სერვისი თავისი მხრიდან იმავე წერტილს აღწევს, არც ერთი ჩვეულებრივი გასვლის კვანძი არ ატარებს ამ კავშირს სერვისამდე. სახელი იდენტობაა, არა DNS ჩანაწერი.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

ამიტომ onion სახელისთვის მარშრუტის ან hosts ჩანაწერის დამატება არაფერს არ აძლევს. ძიება მექანიზმი არ არის; მექანიზმი Tor კლიენტი და მისი წრედებია. თუ სერვისი მცირე ჯგუფისთვისაა განკუთვნილი, onion კლიენტის ავტორიზაციამ შეიძლება გასაღები მოითხოვოს კავშირის მიღებამდე, მაგრამ ეს ჯერ კიდევ არ არის აპლიკაციაში შესვლა. მისამართის გამოქვეყნება განზრახ ქმედებაც, რადგან ვინც მას შეისწთოვს, შეუძლია კავშირი სცადონ, თუ არ შეზღუდეთ.

შეჩერდით, თუ onion გადაწყვეტის ერთადერთი მიზეზი ავთენტიფიკაციის კონფიგურაციის თავიდან აცილებაა. გადაფარვის ფენს ამას არ იძლევა და თქვენ მას მაინც მოგვიანებით ააშენებთ.

რას იძლევა VPN მარშრუტი სინამდვილში

VPN მოწყობილობას ქსელში უშუებს და აძლევს მას გზას კარიბჭისაან ან ქვექსელისკენ. ამ კარიბჭის უკან მდგარი სერვისი ხედავს მისამართს გვირაბის აუზიდან და იყენებს თავის ავტორიზაციას. მარშრუტი არაფერს არ ამბობს იმაზე, თუ ვინ არის მომხმარებელი; ის ამბობს, სად შეიძლება პაკეტებს წასვლა.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

ეს მოდელი შეესაბამება ცნობილ ჯგუფს მართვადი მოწყობილობებით, რადგან კარიბჭეს შეუძლია მოწყობილობის მდგომარეობის დაძალება და ქსელის აუდიტი შესაძლებელია. ის ცუდად შეესაბამება ანონიმურ ან შემთხვევით სტუმრებს, რომლებიც ჯერ უნდა დარეგისტრირდნენ. აპლიკაციის საკუთარი შესვლა კვლავ წყვეტს, თუ რის წაკითხვა შეუძლია დაკავშირებულ მომხმარებელს. მისადგომობის ნებართთან არევა სწორედ ის გზა, რომლიცად VPN საბოლოოდ მთელ ქვექსელს აძლევს ყველას, ვინც შეუძლია დაკავშირდება.

შეჩერდით, თუ აუდიტორია უცნობია ან მუდმივად იცვლება. უცხო ადამიანების რეგისტრაცია კერძო ქსელში ერთი გვერდის საჩვენებლად დიდი ვალდებულებაა სერვისის გამოქვეყნებთან შედარებით.

არჩევანი მათ შორის და რაც იგივე რჩება

აირჩიეთ onion მოდელი, როცა აუდიტორია ტექნიკურია, სერვისს საჯარო მისამართი საერთოდ არ უნდა ჰქონდეს და თქვენ იღებთ Tor-ის კლიენტის მოთხოვნებს. აირჩიეთ VPN მოდელი, როცა აუდიტორია გარკვეული ჯგუფია, რომლის მოწყობილობებსაც თქვენ მართავთ და რომლის წვდომაც ქსელის დონეზე გსურთ ჩაწეროთ. არც ერთი არჩევანი არ აუქმებს აპლიკაციის ავთენტიფიკაციის, განახლებების ან აღდგენის გზის საჭიროებას. არც ერთი არ არის ავტომატურად უფრო კერძო იმ გაღებით, რაც თქვენი მომხმარებლებისთვის მნიშვნელოვანია.

ორივე გადაწყვეტაში ჩაწერეთ, ვინ შეუძლია სერვისთან მისვლა, როგორ იდენტიფიცირდებიან და რა ხდება სერტიფიკატის დაკარგვისას. onion სერვისის პასუხი მოიცავს კლიენტის ავტორიზაციის გასაღებებს და თავად მისამართს; VPN-ის პასუხი მოიცავს ანგარიშს, მოწყობილობას და კარიბჭის პოლიტიკას. ეს სხვადასხვა ნუსხაა და მათგან მხოლოდ ერთი იქნება აშკარა შემდეგ ადმინისტრატორისთვის.

შედარება მთავრდება იმ ადგილსაც, სადაც იწყება აპლიკაცია. დამალული მისამართი და კერძო მარშრუტი ტრანსპორტის არჩევანია და აპლიკაციამ კვლავ უნდა გადაწყვიტოს, რისი უფლება აქვს მოთხოვნას. შეინახეთ ეს გადაწყვეტილებები ცალკე დოკუმენტებში და არც ერთი გადაწყვეტა ჩუმლად არ აიღებს მეორეს საქმეს.