Корпоративтік firewall VPN ішінде нені көре алады, нені көре алмайды

Сол ноутбук үйден VPN-ке жетеді, ал кеңседен қосыла алмайды, демек біреу трафикті оқып отыр. Бөгеу мен оқу — бөлек өкілеттіктер, тек екіншісіне жол бойындағы орын және клиент сенетін сертификат керек. Сіздің қол алысуыңызды тастайтын аралық қорап сіз жіберер нәрсе туралы ештеңе білмеді. Осы екеуінің қайсысына тап болғаныңызды шешу — барлық жұмыс.

Бөгеу мен оқу — түрлі өкілеттіктер

Бас тарту арзан және шулы: сокет ашылады да ештеңе жауап бермейді, немесе бірден қайта орнату келеді. Бұның ешқайсысы тексеруді білдірмейді, өйткені бірде-бір жүк сымынан өтпеді.

Оқу үшін қорғанысты аяқтайтын, өзін сертификатпен дәлелдейтін және әрі қарай жаңа қосылым ашатын соңғы нүкте керек. Ол нүкте жол бойында тұруы және клиент сенуі керек. Тек пакеттерді жіберетін firewall-дың не орны, не сенімхаты жоқ.

Қаптама тегін нені ашады

Әрбір туннель пакетінің сырты бар, ал сырт маршрутталатын болуы керек. Бұл екі мекенжай, хаттама, порт және ұзындық, оған қоса уақыт пен көлем деген сөз. Кез келген маршрутизатор бұл өрістерді әлдеқашан өңдейді, ал NAT өз кестесін сәйкес ұстау үшін мекенжай мен портты қайта жазады. Жүк жабық қалады, сондықтан бақылау екі хост арасында туннель бар деген фактіде тоқтайды.

Хост атауы олардың қатарында жоқ. Сайттар басқа есіктерден ағады, ал ең кеңі — DNS: ноутбук әлі жергілікті шешушіден сұраса, атаулар ашық түрде көрінеді.

Уақыт пен көлем асыра сілтемей құрметке лайық. Минуттағы байт үлкен тасымалдың 14:20-да басталғанын көрсете алады; қай файл жылжығанын көрсете алмайды. Бұл мінез-құлық туралы нақты ашу және мазмұнды оқудан өзге санат.

TLS ұстап алу үшін сіз әлдеқашан сенетін тамыр керек

Тексеруші құрылғы TLS-ті бұзбайды; оны аяқтайды. Клиентке ұйымға тиесілі тамырдан сертификат жауап береді, ал екінші қосылым нақты межеге кетеді. Клиент мұны қабылдайды, өйткені сол тамыр оның сенім қоймасында, сондықтан басқарылатын ноутбук ешқандай ескерту көрсетпейді. Криптография ешқашан жеңілмеген; соңғы нүкте жылжытылды.

Сондықтан бұл құрылым дәлел қалдырады. Ұсынылған тізбектегі шығарушы ашық CA-ға емес, ұйымға тиесілі, және клиент мұны арнайы құралсыз-ақ көре алады. Ішкі тамырмен аяқталатын тізбек — ұстап алудың қолтаңбасы, ақаулық емес.

Неге VPN арнасы HTTPS сессиясы емес

VPN деректер арнасы тексерушіге ондай тірек бермейді. IKEv2 мен WireGuard өз қол алысулары мен кілт кестелерін жүргізеді, аяқтайтын TLS жоқ, ал OpenVPN басқару арнасы үшін TLS-ті өзгертілген түрде қарызға алады, сосын деректерді өз әдісімен қорғайды. HTTPS үшін құрылған прокси ол сессияны талдай алатын нәрсе ретінде танымайды.

Сессияны талдай алмайтын құрылғы оны бәрібір тастай алады. Сондықтан VPN бөгеуі әдетте сертификат ескертуіне емес, уақыттың бітуіне ұқсайды, және сондықтан ерекшелік ештеңені өзгертпейді.

Өз машинаңыздан тексеріңіз

Сайт ұсынатын тізбектен бастаңыз. Шолғыштағы сайт мәліметтері шығарушыны көрсетеді, ал пәрмен жолы түйіндемесіз солай хабарлайды:

openssl s_client -connect example.com:443 -servername example.com

Содан кейін санауыштармен қабылданбаған қол алысуды сүзілген ішкі трафиктен ажыратыңыз. Кез келген тастау ережесінің алдында тасымал портын жазып, әрекеттен кейін оқыңыз:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Сыртқы сокетте журнал жолының болмауы қол алысу ешқашан шықпағанын білдіреді, демек жол туннельден бас тартады. Аяқталған қол алысу және тек кейбір межелердің сәтсіз болуы туннель жұмыс істеп, ішіндегі саясат істемейтінін білдіреді. Екі нәтиженің ешқайсысы жүктің бір байтын оқуды талап етпеді.

Шын мәнінде болатын оқу шеттерде: бөлінген туннель ішкі HTTPS-ті корпоративтік проксиге береді, ал жұмыс берушіге тиесілі концентратор шығыста бәрін ашады. Не тапсаңыз да, қосылымды мәжбүрлеу үшін сертификат тексерісін өшірмеңіз, өйткені сол тексеру тексеруді шабуылдаушыдан ажырататын жалғыз нәрсе.