VPN шығу IP-і туннельдің дәлелі емес: серверлер нені көреді

Біреу тек VPN пайдаланушылары жете алатын қызметті сұрайды, және айқын іске асыру шығу мекенжайларының тізіміне рұқсат беру. Тізім нақты бір іс атқарады: кімнің қосыла алатынын шектейді. Ол туннельдің пайдаланылғанын дәлелдемейді, өйткені мекенжай шығуды басқаратын адамға тиесілі, ал бұл оператор кез келгеннің трафигін жібере алады. Осы екі тұжырым арасындағы айырмашылық — бүкіл дизайн мәселесі.

Сервер әр қосылымға бір мекенжай көреді

Қосылым бастау көзінің мекенжайымен және мақсатты портпен келеді, және желілік қабат хабарлайтын нәрсе осымен шектеледі. Клиент туннельді пайдаланғанда, сіздің тыңдаушыңызға жететін пакеттер шығудан немесе оның алдындағы аудармадан келеді. Клиенттің өз мекенжайы, әдетте жеке, ешқашан көрінбейді. Сондықтан клиенттің жергілікті желі ауқымына арналған брандмауэр ережесі ешнәрсе істемейді.

Осы бастау мекенжайынан кейінгі барлық нәрсе — қолданба деректері, және қолданба оларға тек растаған дәрежесінде сене алады.

Шығуыңыздың қалай көрінетінін тексеріңіз

Ереже жазбас бұрын жолды екі шетінен қараңыз. Клиенттің өз шығуы туралы көрінісі мен сервердің қосылым туралы көрінісі — маңызды екі факт.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Бірінші пәрмен клиент көрінетін жалпыға ортақ мекенжайды хабарлайды, және кез келген рұқсат тізімінде осы мән болуы керек. Екіншісі сервердегі орнатылған қосылымдарды олардың серіктес мекенжайларымен көрсетеді, және ереже шынымен осыған сәйкес келеді. Егер екеуі сіздің ойша үлгіңізге сай келмесе, саясатты өңдеу алдында үлгіні түзетіңіз. Бұлттық дерекқор брандмауэры, қолданбаның рұқсат тізімі және жүктеме теңгерушісінің әрқайсысы басқа аударма қабатын көруі мүмкін.

Екі шығу жиынтығының тек біреуін ғана тізімдеуге болады

Бір жағдай сұрау сәтінде тексеріле алады, екіншісі жоқ, бұл мүлдем басқа кепілдіктер береді.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Жарияланған Tor шығу тізімін алуға және салыстыруға болады, тізімнің жасына және әр шығудың өз саясатына байланысты, сондықтан белгілі шығуларға қарсы бас тарту ережесін қолдануға және қарауға болады. Коммерциялық VPN-тер үшін баламалы тіркелім жоқ. Мекенжайлар айналады, көптеген провайдерлер ештеңе жарияламайды, және туннель ешқашан VPN-ге тиесілі болмаған жалға алынған бұлттық мекенжайда жұмыс істеуі мүмкін. Сіз құрастырған тізім — байқалған мекенжайлардың лездік суреті, ал оны хостинг ауқымдарына кеңейту дәлел қоспай-ақ байланыссыз жүктемелерді қосады.

Мекенжайларды саясат кірісі ретінде пайдаланыңыз, дәлел ретінде емес

Ереженің не үшін екенін шешіңіз. Желілік шектеу тар болып қалуы, байқалған мекенжайды күнімен және себебімен жазуы, және заңды пайдаланушыларға шығуы өзгерген кезде қалпына келу жолын беруі керек. Кіруді бақылау үшін аутентификацияланған тіркелгі немесе қол қойылған токен қажет, өйткені тек солар сұрауды жеке баспен байланыстырады. Тәуекелді бағалау мекенжайды бір сенімсіз сигнал ретінде пайдалана алады, оның жалған оң нәтижелері мен соқыр нүктелерін қабылдай отырып. Ережені өнімдік шешім ретінде жазу адал; оны туннельдің бар екенін тексеру ретінде жазу олай емес.

Айна сұрау, яғни VPN артындағы пайдаланушының нақты мекенжайын қалпына келтіру, сол себепті сәтсіз болады: бір қосылым бір мекенжайды тасымалдайды, және сессиялар арасындағы өзгеріс бірнеше түсіндірмеге сәйкес келеді. Алдыңғы мәнді тарих ретінде қарастырыңыз, шындық ретінде емес.