VPN-ის გასასვლელი IP გვირაბის მტკიცებულება არ არის: რას ხედავენ სერვერები

ვიღაც სთხოვს სერვისს, სადაც მხოლოდ VPN მომხმარებლები აღწევენ, და აშკარა განხორციელება გასასვლელი მისამართების სიის დაშვებაა. სია რეალურ რამეს აკეთებს: ზღუდავს, ვის შეუძლია დაკავშირება. ის არ ამტკიცებს, რომ გვირაბი გამოიყენეს, რადგან მისამართი ეკუთვნის მას, ვინც გასასვლელს მართავს, და ამ ოპერატორს შეუძლია ნებისმიერის ტრაფიკი გადაამისამართოს. ამ ორ განცხადებას შორის სხვაობა მთელი დიზაინის პრობლემაა.

სერვერი ხედავს ერთ მისამართს თითო კავშირზე

კავშირი მოდის წყაროს მისამართით და დანიშნულების პორტით, და ეს არის ყველაფერი, რასაც ქსელის შრე იტყობინება. როცა კლიენტი გვირაბს იყენებს, თქვენს მსმენელამდე მისული პაკეტები მოდის გასასვლელიდან ან მის წინ არსებული თარგმანიდან. კლიენტის საკუთარი მისამართი, ჩვეულებრივ კერძო, არასდროს ჩნდება. ამიტომ კლიენტის ლოკალური ქსელის დიაპაზონისთვის დაწერილი ფაირვოლის წესი არაფერს აკეთებს.

ყველაფერი ამ წყაროს მისამართის შემდეგ აპლიკაციის მონაცემია, და აპლიკაციას შეუძლია ენდოს მას მხოლოდ იმდენად, რამდენადაც ის ამოწმებს მას.

შეამოწმეთ, როგორ გამოიყურება თქვენი გასასვლელი

შეხედეთ გზას ორივე ბოლოდან, სანამ წესს დაწერთ. კლიენტის წარმოდგენა საკუთარ გასასვლელზე და სერვერის წარმოდგენა კავშირზე ორი ის ფაქტია, რომლებსაც მნიშვნელობა აქვთ.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

პირველი ბრძანება იტყობინებს საჯარო მისამართს, რომლითაც კლიენტი ჩანს, და ეს არის მნიშვნელობა, რომელიც ნებისმიერ დაშვებულ სიაში უნდა იყოს. მეორე აჩვენებს სერვერზე დამყარებულ კავშირებს მათი პარტნიორი მისამართებით, და სწორედ ამას დაემთხვევა წესი რეალურად. თუ ორივე არ ემთხვევა თქვენს გონებრივ მოდელს, გაასწორეთ მოდელი პოლიტიკის რედაქტირებამდე. ღრუბლოვანი მონაცემთა ბაზის ფაირვოლი, აპლიკაციის დაშვებული სია და დატვირთვის გამანაწილებელი შეიძლება თითოეულმა სხვადასხვა თარგმანის შრე დაინახოს.

ორი გასასვლელი ნაკრებიდან მხოლოდ ერთის ჩამოთვლა შეიძლება

ერთი შემთხვევა მოთხოვნის მომენტში შესამოწმებელია, მეორე კი არა, რაც სრულიად განსხვავებულ გარანტიებს იძლევა.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

გამოქვეყნებული Tor გასასვლელების სია მოპოვებადი და შესადარებელია, სიის ასაკისა და თითოეული გასასვლელის საკუთარი პოლიტიკის მიხედვით, ამიტომ ცნობილი გასასვლელების მიმართ უარის წესი აღსრულებადი და გადამოწმებადია. კომერციული VPN-ებისთვის ეკვივალენტური რეესტრი არ არსებობს. მისამართები ბრუნავს, ბევრი პროვაიდერი არაფერს აქვეყნებს, და გვირაბი შეიძლება მუშაობდეს ნაქირავებ ღრუბლოვან მისამართზე, რომელიც არასდროს ეკუთვნოდა VPN-ს. თქვენ მიერ შედგენილი სია დაკვირვებული მისამართების მყისიერი სურათია, და მისი ჰოსტინგის დიაპაზონებამდე გაფართოება უმატებს დაუკავშირებელ დატვირთვებს მტკიცებულების დამატების გარეშე.

გამოიყენეთ მისამართები პოლიტიკის შეყვანად, არა მტკიცებულებად

გადაწყვიტეთ, რისთვისაა წესი. ქსელური შეზღუდვა უნდა დარჩეს ვიწრო, ჩაწეროს დაკვირვებული მისამართი თარიღითა და მიზეზით, და მისცეს ლეგიტიმურ მომხმარებლებს აღდგენის გზა, როცა მათი გასასვლელი იცვლება. წვდომის კონტროლს სჭირდება ავთენტიფიცირებული ანგარიში ან ხელმოწერილი ტოკენი, რადგან მხოლოდ ისინი აკავშირებენ მოთხოვნას იდენტობასთან. რისკის შეფასებას შეუძლია მისამართი გამოიყენოს როგორც ერთი არასანდო სიგნალი, მიიღოს მისი ცრუ დადებითები და ბრმა წერტილები. წესის პროდუქტის გადაწყვეტილებად დაწერა პატიოსანია; გვირაბის არსებობის შემოწმებად დაწერა არა.

სარკული მოთხოვნა, ანუ VPN-ის მიღმა მომხმარებლის ნამდვილი მისამართის აღდგენა, იმავე მიზეზით მარცხდება: ერთი კავშირი ერთ მისამართს ატარებს, და სესიებს შორის ცვლილება რამდენიმე ახსნას ერგება. მოეპყარით წინა მნიშვნელობას ისტორიად, არა ჭეშმარიტებად.