Желі шифрлауды бұзбай-ақ VPN-іңізді бөгетей ала ма?
Шифрлау мазмұнды қорғайды, жеткізуді емес. Блоктау тізімдерін, рұқсат тізімдерін және сөндіруді салыстырыңыз, содан кейін бір байқау шын мәнінде нені растай алатынын сұраңыз.
Ешбір операторға туннельді тоқтату үшін сессия кілті қажет емес: жолдағы пакеттерді тастаңыз — ол істен шығады, ал криптография өз жобасы уәде еткендей күшті күйінде қалады. Шифрлау әңгіме алып жүретін мазмұнды қорғайды, қандай да бір желінің оны алып жүруге дайындығын емес. Осы екі қасиетті ажырату бөгеуге болмайды деген дауды қандай саясат күшінде екені және ол қаншалықты алысқа жететіні туралы сұраққа айналдырады. Төмендегі салыстыру қолжетімділік пен құпиялылықты бөлек ұстайды, өйткені VPN-ді бөгеу туралы сенімді мәлімдемелердің көбі оларды үнсіз біріктіреді.
Қолжетімділік — жол қабылдайтын шешім
Әрбір тасымал пакеттерді жіберетін жолға тәуелді, ал мұндағы әрбір саяси сұрақ сол жіберу шешіміне келіп тіреледі. Пакеттерді тастайтын ереже құпиялылыққа тиіспей қолжетімділікті өзгертеді, және осылайша туннель мінсіз шифрланған әрі сол мезетте мүлдем пайдалануға жарамсыз болуы мүмкін. Бұл нәтиженің ешбір бөлігі шифрды бұзуды немесе кілтті қалпына келтіруді талап етпейді. Ол тек жолды бақылауды талап етеді.
Шатасу әдетте екі қасиеттің бір сөзді бөлісуінен басталады. Күшті криптография ағынды кім оқи алатынын айтады; ол аралық құрылғы оны өткізе ме, жоқ па — бұл туралы ештеңе айтпайды. Сондықтан VPN-ді бөгеуге болмайды деген тұжырым оның астында екінші тұжырымды қажет етеді, атап айтқанда жолда ешкім пакеттерді тастауға дайын емес дегенді.
Орындау стильдері және әрқайсысының бағасы
Үш стиль нақты саясаттардың көбін қамтиды және олар нені білуі керек, оларды жүргізу қанша тұрады және тағы кім зардап шегеді дегенде ерекшеленеді. Олардың әрқайсысы ештеңені дешифрламай-ақ туннельден бас тарта алады. Айырмашылықтар маңызды, өйткені сол бір сөз — бөгеу — үшеуіне де қолданылады.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Бұл кесте шығын картасы, дәрежелеу емес. Блоктау тізімін бастау арзан, дәл ұстау қымбат; рұқсат тізімі ашумен рұқсат етілген жиынды күтуді айырбастайды, ал сөндіруге мүлдем жіктеу қажет емес. Оларды техникалық нәзіктік емес, әрқайсысының тұрақты күш-жігерді қайда салатыны бөледі. Қағазда қарапайым көрінетін саясаттың әдетте басқа жерде жасырын күтім жолы болады.
Блоктау тізімі мекенжайдың қызметті қаншалықты жақсы атайтынымен шектеледі
Блоктау тізімі бұрын анықталған межелі орындардан бас тартып, қалғанын жалпы қолжетімді етеді. Оны орындау үшін ашық мәтін емес, мекенжайлар мен порттар қажет, және бұл оны басында арзан етеді. Шығын кейінірек келеді, өйткені бір кездері бір провайдерді белгілеген диапазон кейін ондаған байланыссыз жалға алушыны орналастыруы мүмкін. Әрбір мекенжай өзгерісі тізімді өңдеуді талап етеді, ал әрбір ескірген жазба кінәсіз трафикті өзімен бірге алып кетеді.
Бұл модельде дәлдік межелі орынның қызметті қаншалықты жақсы анықтайтынымен шектеледі, ал көп қолданылатын ортақ соңғы нүкте нашар сәйкестендіргіш. Бұл құрылымдық шек, іске асыру ақауы емес, сондықтан жақсырақ құралдар оны жоймайды. Бұл сонымен қатар блоктау тізімдерінің неге өсетінін түсіндіреді: әрбір жаңа соңғы нүкте шағын қосымша болып көрінеді, ал жанама зиян тізіммен бірге өседі.
Рұқсат тізімі күтім жүгін басқа жаққа ауыстырады
Рұқсат тізімі әдепкіні төңкеріп, тек алдын ала таңдалған межелі орындар немесе трафик түрлері өте алады. Оған әрбір тыйым салынған соңғы нүктені санамау жеткілікті, бұл тыйым салынған жиын үлкен немесе тез өзгеретін кезде көмектеседі. Оның орнына оған рұқсат етілгеннің күтілетін анықтамасы және сол анықтамаға сай орындалу қажет.
Порт нөмірлері мұндай анықтамадағы әдеттегі әлсіз тұс. Портқа рұқсат беру оны пайдалана алатын әрбір қолданбаны анықтаумен бір емес, сондықтан портқа негізделген рұқсат тізімі көбіне автордың ойлағанынан көбін өткізеді. Протокол таңбаларының да басқа жақтан осы мәселесі бар, өйткені олар трафиктің пішінін анықтайды, ниетін емес. Сондықтан рұқсат тізімі өздігінен блоктау тізімінен дәлірек емес; ол басқа нәрсеге қатысты дәл.
Бір байқау нені растай алады және нені растай алмайды
Бөгеу туралы кез келген тұжырым төрт сұрақты қолда ұстап оқылуы керек: қай қатынау желілері, қай межелі орындар, қай протоколдар және қай байқау кезеңі. Бүгін бір ұялы желіде көрінген ақау ертең басқа желіден сол соңғы нүкте туралы ештеңе айтпайды. Бір рет жұмыс істеген туннель де тұрақты қолжетімділік туралы ештеңе айтпайды.
Ақау пішінін оның себебі туралы теория құрмас бұрын байқауға болады. Үнсіз қатып қалу, бірден бас тарту және қосылғаннан кейінгі қайта қосу әртүрлі орындау стильдерін көрсетеді, оларды екі команда ажыратады:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comУақыт шегімен аяқталатын қатып қалу үнсіз тастауды, жылдам бас тарту жолдағы бас тартатын құрылғыны, ал қосылғаннан кейінгі қайта қосу жоқ маршрутты емес, күйі бар араласуды көрсетеді. RFC 9505 цензура техникаларына шолу осы пішіндердің артындағы бақылау нүктелері мен араласу үлгілерін сипаттайды. Алайда олардың ешқайсысы саясаттың қаншалықты кең қолданылатынын айтпайды. Тұрақтылық қолжетімділіктен күштірек тұжырым: соңғы нүктелер, бағдарламалық жасақтама, саясаттар және рұқсат етілген қызметтер — барлығы өзгереді, сондықтан белгісіз тиімділік бір сәтте көрінген мекенжайлар тізімін емес, орындалудың жалғасуы туралы болжамдарды қажет етеді.