რას ხედავს და რას ვერ ხედავს კორპორატიული firewall VPN-ის შიგნით

იგივე ლეპტოპი სახლიდან VPN-ს აღწევს, ოფისიდან კი ვერ უკავშირდება, ასე რომ ვიღაც ტრაფიკს კითხულობს. დაბლოკვა და კითხვა ცალკეული უფლებამოსილებებია და მხოლოდ მეორეს სჭირდება ადგილი გზაზე, პლუს სერტიფიკატი, რომელსაც კლიენტი ენდობა. შუამავალი ყუთი, რომელიც თქვენს ხელის ჩამორთმევას ყრის, ვერაფერი ისწავლა იმის შესახებ, რასაც გაგზავნიდით. იმის გარკვევა, ამ ორიდან რომელთან გაქვთ საქმე, მთელი სამუშაოა.

დაბლოკვა და კითხვა სხვადასხვა უფლებამოსილებაა

უარი იაფი და ხმამაღალია: სოკეტი იხსნება და არავინ პასუხობს, ან მაშინვე მოდის გადატვირთვა. ამიდან არაფერი ნიშნავს შემოწმებას, რადგან არც ერთი დატვირთვა არ გადასულა მავთულზე.

კითხვას სჭირდება ბოლო წერტილი, რომელიც დაცვას ამთავრებს, თავს სერტიფიკატით ადასტურებს და წინ ახალ კავშირს იწყებს. ეს წერტილი გზაზე უნდა იყოს და კლიენტის ნდობით სარგებლობდეს. ფაირვოლს, რომელიც მხოლოდ პაკეტებს გადასცემს, არც პოზიცია აქვს და არც რწმუნება.

რას გვაძლევს გარსი უფასოდ

გვირაბის ყველა პაკეტს აქვს გარე მხარე და გარე მხარე მარშრუტიზებადი უნდა იყოს. ეს ნიშნავს ორ მისამართს, პროტოკოლს, პორტს და სიგრძეს, ასევე დროსა და მოცულობას. ნებისმიერი როუტერი უკვე ამუშავებს ამ ველებს და NAT გადაწერს მისამართსა და პორტს, რომ მისი რუკების ცხრილი თანმიმდევრული დარჩეს. დატვირთვა დალუქული რჩება, ამიტომ დაკვირვება ჩერდება იმ ფაქტზე, რომ ორ ჰოსტს შორის გვირაბი არსებობს.

ჰოსტის სახელი მათ შორის არ არის. საიტები სხვა კარებიდან ჟონავს და ყველაზე ფართო DNS-ია: თუ ლეპტოპი ჯერ კიდევ ადგილობრივ გამხსნელს ეკითხება, სახელები ღიად ჩნდება.

დრო და მოცულობა პატივისცემას იმსახურებს, გაზვიადების გარეშე. ბაიტი წუთში შეიძლება აჩვენოს, რომ დიდი გადაცემა 14:20-ზე იწყება; ვერ აჩვენებს, რომელი ფაილი გადავიდა. ეს ქცევის შესახებ რეალური გამჟღავნებაა და სხვა კატეგორია, ვიდრე შიგთავსის კითხვა.

TLS-ის ჩაჭრას სჭირდება ფესვი, რომელსაც უკვე ენდობით

შემოწმების მოწყობილობა TLS-ს არ ტეხავს; ის ამთავრებს მას. კლიენტს პასუხობს სერტიფიკატი ფესვიდან, რომელსაც ორგანიზაცია ფლობს, და მეორე კავშირი რეალურ დანიშნულებაზე მიდის. კლიენტი ამას იღებს, რადგან ეს ფესვი მის ნდობის საცავშია, ამიტომ მართული ლეპტოპი გაფრთხილებას არ აჩვენებს. კრიპტოგრაფია არასოდეს დამარცხებულა; ბოლო წერტილი გადაადგილდა.

ამიტომაც ეს წყობა კვალს ტოვებს. წარმოდგენილ ჯაჭვზე გამომცემი ორგანიზაციას ეკუთვნის და არა საჯარო CA-ს, და კლიენტს ეს სპეციალური ხელსაწყოების გარეშე დანახვა შეუძლია. შიდა ფესვზე დამთავრებული ჯაჭვი ჩაჭრის ხელმოწერაა და არა გაუმართაობა.

რატომ არ არის VPN არხი HTTPS სესია

VPN-ის მონაცემთა არხი შემოწმების მოწყობილობას ასეთ საყრდენს არ აძლევს. IKEv2 და WireGuard საკუთარ ხელის ჩამორთმევებსა და გასაღების განრიგებს ატარებენ, დასასრულებელი TLS-ის გარეშე, მაშინ როცა OpenVPN TLS-ს სესხულობს თავისი მართვის არხისთვის შეცვლილი ფორმით, სანამ მონაცემებს საკუთარი წესით დაიცავს. HTTPS-ისთვის აგებული პროქსი ამ სესიას ვერ ცნობს როგორც რამეს, რისი გარჩევაც შეეძლოს.

მოწყობილობა, რომელსაც სესიის გარჩევა არ შეუძლია, მაინც შეიძლება ჩამოაგდოს იგი. ამიტომ VPN-ის დაბლოკვა ჩვეულებრივ ვადის გასვლას ჰგავს და არა სერტიფიკატის გაფრთხილებას, და ამიტომ გამონაკლისი ვერაფერს ცვლის.

შეამოწმეთ საკუთარი მანქანიდან

დაიწყეთ ჯაჭვით, რომელსაც საიტი წარმოადგენს. ბრაუზერის საიტის დეტალები გამომცემს აჩვენებს და ბრძანების სტრიქონი იგივეს იტყობინება შეჯამების გარეშე:

openssl s_client -connect example.com:443 -servername example.com

შემდეგ მრიცხვებით გამოყავით უარყოფილი ხელის ჩამორთმევა გაფილტრული შიდა ტრაფიკისგან. ჩაწერეთ ტრანსპორტის პორტი ნებისმიერ ჩამოგდების წესამდე და წაიკითხეთ ისინი მცდელობის შემდეგ:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

გარე სოკეტზე ჟურნალის ხაზის არარსებობა ნიშნავს, რომ ხელის ჩამორთმევა არასოდეს გასულა, ამიტომ გზა გვირაბს უარყოფს. დასრულებული ხელის ჩამორთმევა, სადაც მხოლოდ რამდენიმე დანიშნულება ცდება, ნიშნავს, რომ გვირაბი მუშაობს და შიგნითა პოლიტიკა არა. არც ერთ შედეგს არ დასჭირვებია დატვირთვის ერთი ბაიტის წაკითხვა.

ის კითხვა, რომელიც ნამდვილად ხდება, კიდეებზეა: გაყოფილი გვირაბი შიდა HTTPS-ს კორპორატიულ პროქსის გადასცემს და დამსაქმებლის საკუთრებაში არსებული კონცენტრატორი გასასვლელში ყველაფერს ამჟღავნებს. რაც არ უნდა იპოვოთ, ნუ გამორთავთ სერტიფიკატის შემოწმებას კავშირის იძულებისთვის, რადგან სწორედ ეს შემოწმება ჰყოფს შემოწმებას თავდამსხმელისგან.