ಕಾರ್ಪೊರೇಟ್ ಫೈರ್ವಾಲ್ VPN ಒಳಗೆ ಏನನ್ನು ನೋಡಬಲ್ಲದು ಮತ್ತು ಏನನ್ನು ನೋಡಲಾರದು

ಅದೇ ಲ್ಯಾಪ್ಟಾಪ್ ಮನೆಯಿಂದ VPN ತಲುಪುತ್ತದೆ ಮತ್ತು ಕಚೇರಿಯಿಂದ ಸಂಪರ್ಕಿಸಲಾರದು, ಹಾಗಾಗಿ ಯಾರೋ ಸಂಚಾರವನ್ನು ಓದುತ್ತಿದ್ದಾರೆ. ತಡೆಯುವುದು ಮತ್ತು ಓದುವುದು ಬೇರೆ ಬೇರೆ ಅಧಿಕಾರಗಳು, ಮತ್ತು ಎರಡನೆಯದಕ್ಕೆ ಮಾತ್ರ ಮಾರ್ಗದಲ್ಲಿ ಒಂದು ಸ್ಥಾನ ಹಾಗೂ ಕ್ಲೈಂಟ್ ನಂಬುವ ಪ್ರಮಾಣಪತ್ರ ಬೇಕು. ನಿಮ್ಮ ಹ್ಯಾಂಡ್ಶೇಕ್ ಅನ್ನು ಬಿಸಾಡುವ ಮಧ್ಯದ ಪೆಟ್ಟಿಗೆ ನೀವು ಕಳುಹಿಸುತ್ತಿದ್ದದ್ದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಕಲಿಯಲಿಲ್ಲ. ಈ ಎರಡರಲ್ಲಿ ಯಾವುದನ್ನು ಎದುರಿಸುತ್ತಿದ್ದೀರಿ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದೇ ಇಡೀ ಕೆಲಸ.

ತಡೆಯುವುದು ಮತ್ತು ಓದುವುದು ಬೇರೆ ಅಧಿಕಾರಗಳು

ನಿರಾಕರಣೆ ಅಗ್ಗ ಮತ್ತು ಗದ್ದಲದ್ದು: ಸಾಕೆಟ್ ತೆರೆಯುತ್ತದೆ ಮತ್ತು ಯಾವುದೂ ಉತ್ತರಿಸುವುದಿಲ್ಲ, ಅಥವಾ ತಕ್ಷಣ ರೀಸೆಟ್ ಬರುತ್ತದೆ. ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಪರಿಶೀಲನೆ ಎಂದು ಅರ್ಥವಲ್ಲ, ಏಕೆಂದರೆ ಯಾವುದೇ ಪೇಲೋಡ್ ತಂತಿಯನ್ನು ದಾಟಲಿಲ್ಲ.

ಓದಲು ಸಂರಕ್ಷಣೆಯನ್ನು ಮುಗಿಸುವ, ಪ್ರಮಾಣಪತ್ರದಿಂದ ತನ್ನನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಮತ್ತು ಮುಂದೆ ಹೊಸ ಸಂಪರ್ಕ ತೆರೆಯುವ ಅಂತ್ಯಬಿಂದು ಬೇಕು. ಆ ಬಿಂದು ಮಾರ್ಗದಲ್ಲಿ ಇರಬೇಕು ಮತ್ತು ಕ್ಲೈಂಟ್ ನಂಬುವಂತಿರಬೇಕು. ಕೇವಲ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಮುಂದೆ ಕಳುಹಿಸುವ ಫೈರ್ವಾಲ್ಗೆ ಸ್ಥಾನವೂ ಇಲ್ಲ, ರುಜುವಾತೂ ಇಲ್ಲ.

ಹೊದಿಕೆ ಉಚಿತವಾಗಿ ಏನನ್ನು ಬಿಟ್ಟುಕೊಡುತ್ತದೆ

ಪ್ರತಿ ಸುರಂಗ ಪ್ಯಾಕೆಟ್ಗೆ ಒಂದು ಹೊರಭಾಗ ಇರುತ್ತದೆ, ಮತ್ತು ಹೊರಭಾಗ ಮಾರ್ಗನಿರ್ದೇಶನೀಯವಾಗಿರಬೇಕು. ಅಂದರೆ ಎರಡು ವಿಳಾಸಗಳು, ಒಂದು ಪ್ರೋಟೋಕಾಲ್, ಒಂದು ಪೋರ್ಟ್ ಮತ್ತು ಉದ್ದ, ಜೊತೆಗೆ ಸಮಯ ಮತ್ತು ಪರಿಮಾಣ. ಯಾವುದೇ ರೌಟರ್ ಈಗಾಗಲೇ ಆ ಕ್ಷೇತ್ರಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ, ಮತ್ತು NAT ತನ್ನ ಮ್ಯಾಪಿಂಗ್ ಕೋಷ್ಟಕವನ್ನು ಸ್ಥಿರವಾಗಿಡಲು ವಿಳಾಸ ಮತ್ತು ಪೋರ್ಟ್ ಅನ್ನು ಮರುಬರೆಯುತ್ತದೆ. ಪೇಲೋಡ್ ಮುದ್ರಿತವಾಗಿಯೇ ಉಳಿಯುತ್ತದೆ, ಹಾಗಾಗಿ ವೀಕ್ಷಣೆ ಎರಡು ಹೋಸ್ಟ್ಗಳ ನಡುವೆ ಸುರಂಗವಿದೆ ಎಂಬ ಸತ್ಯದಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ.

ಹೋಸ್ಟ್ಹೆಸರು ಅವುಗಳಲ್ಲಿ ಇಲ್ಲ. ಸೈಟ್ಗಳು ಬೇರೆ ಬಾಗಿಲುಗಳ ಮೂಲಕ ಸೋರುತ್ತವೆ, ಮತ್ತು ಅತ್ಯಂತ ಅಗಲವಾದದ್ದು DNS: ಲ್ಯಾಪ್ಟಾಪ್ ಇನ್ನೂ ಸ್ಥಳೀಯ ರಿಜಾಲ್ವರ್ ಅನ್ನು ಕೇಳಿದರೆ, ಹೆಸರುಗಳು ಬಯಲಿನಲ್ಲಿ ಕಾಣುತ್ತವೆ.

ಸಮಯ ಮತ್ತು ಪರಿಮಾಣವು ಉತ್ಪ್ರೇಕ್ಷೆ ಇಲ್ಲದೆ ಗೌರವಕ್ಕೆ ಅರ್ಹ. ನಿಮಿಷಕ್ಕೆ ಬೈಟ್ಗಳು 14:20 ಕ್ಕೆ ದೊಡ್ಡ ವರ್ಗಾವಣೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ ಎಂದು ತೋರಿಸಬಹುದು; ಯಾವ ಫೈಲ್ ಸರಿಯಿತು ಎಂದು ತೋರಿಸಲಾರವು. ಅದು ವರ್ತನೆಯ ಬಗ್ಗೆ ನಿಜವಾದ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ, ಮತ್ತು ವಿಷಯ ಓದುವುದಕ್ಕಿಂತ ಬೇರೆ ವರ್ಗ.

TLS ಪ್ರತಿಬಂಧಕ್ಕೆ ನೀವು ಈಗಾಗಲೇ ನಂಬುವ ಮೂಲ ಬೇಕು

ಪರಿಶೀಲಿಸುವ ಸಾಧನ TLS ಅನ್ನು ಒಡೆಯುವುದಿಲ್ಲ; ಅದನ್ನು ಮುಗಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ಗೆ ಸಂಸ್ಥೆಯ ಒಡೆತನದ ಮೂಲದಿಂದ ಪ್ರಮಾಣಪತ್ರ ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಎರಡನೇ ಸಂಪರ್ಕ ನಿಜವಾದ ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ ಹೋಗುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಇದನ್ನು ಒಪ್ಪಿಕೊಳ್ಳುತ್ತದೆ ಏಕೆಂದರೆ ಆ ಮೂಲ ಅವನ ವಿಶ್ವಾಸ ಸಂಗ್ರಹದಲ್ಲಿದೆ, ಆದ್ದರಿಂದ ನಿರ್ವಹಿತ ಲ್ಯಾಪ್ಟಾಪ್ ಯಾವುದೇ ಎಚ್ಚರಿಕೆ ತೋರಿಸುವುದಿಲ್ಲ. ಗೂಢಲಿಪೀಕರಣ ಎಂದೂ ಸೋಲಲಿಲ್ಲ; ಅಂತ್ಯಬಿಂದುವನ್ನು ಸರಿಸಲಾಯಿತು.

ಅದಕ್ಕೇ ಈ ವ್ಯವಸ್ಥೆ ಸಾಕ್ಷ್ಯ ಬಿಡುತ್ತದೆ. ಮಂಡಿಸಿದ ಸರಪಳಿಯಲ್ಲಿ ನೀಡುವವರು ಸಾರ್ವಜನಿಕ CA ಅಲ್ಲ, ಸಂಸ್ಥೆಗೆ ಸೇರಿದವರು, ಮತ್ತು ಕ್ಲೈಂಟ್ ವಿಶೇಷ ಉಪಕರಣಗಳಿಲ್ಲದೆ ಅದನ್ನು ನೋಡಬಹುದು. ಒಳಗಿನ ಮೂಲದಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುವ ಸರಪಳಿ ಪ್ರತಿಬಂಧದ ಸಹಿ, ದೋಷವಲ್ಲ.

VPN ಚಾನೆಲ್ HTTPS ಸೆಷನ್ ಏಕೆ ಅಲ್ಲ

VPN ಡೇಟಾ ಚಾನೆಲ್ ಪರಿಶೀಲಕನಿಗೆ ಅಂತಹ ಆಧಾರ ನೀಡುವುದಿಲ್ಲ. IKEv2 ಮತ್ತು WireGuard ತಮ್ಮದೇ ಹ್ಯಾಂಡ್ಶೇಕ್ ಮತ್ತು ಕೀ ವೇಳಾಪಟ್ಟಿಗಳನ್ನು ನಡೆಸುತ್ತವೆ, ಮುಗಿಸಲು TLS ಇಲ್ಲ, ಆದರೆ OpenVPN ತನ್ನ ನಿಯಂತ್ರಣ ಚಾನೆಲ್ಗೆ TLS ಅನ್ನು ಬದಲಾದ ರೂಪದಲ್ಲಿ ಎರವಲು ಪಡೆದು ನಂತರ ಡೇಟಾವನ್ನು ತನ್ನ ರೀತಿಯಲ್ಲಿ ಸಂರಕ್ಷಿಸುತ್ತದೆ. HTTPS ಗಾಗಿ ನಿರ್ಮಿಸಿದ ಪ್ರಾಕ್ಸಿ ಆ ಸೆಷನ್ ಅನ್ನು ಅದು ಪಾರ್ಸ್ ಮಾಡಬಲ್ಲ ವಸ್ತುವೆಂದು ಗುರುತಿಸುವುದಿಲ್ಲ.

ಸೆಷನ್ ಅನ್ನು ಪಾರ್ಸ್ ಮಾಡಲಾರದ ಸಾಧನವೂ ಅದನ್ನು ಬಿಸಾಡಬಹುದು. ಆದ್ದರಿಂದ VPN ತಡೆ ಸಾಮಾನ್ಯವಾಗಿ ಪ್ರಮಾಣಪತ್ರದ ಎಚ್ಚರಿಕೆಯಂತೆ ಅಲ್ಲ, ಸಮಯ ಮೀರಿದಂತೆ ಕಾಣುತ್ತದೆ, ಮತ್ತು ಆದ್ದರಿಂದ ವಿನಾಯಿತಿ ಏನನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ.

ನಿಮ್ಮ ಸ್ವಂತ ಯಂತ್ರದಿಂದ ಪರಿಶೀಲಿಸಿ

ಸೈಟ್ ಮಂಡಿಸುವ ಸರಪಳಿಯಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಬ್ರೌಸರ್ನ ಸೈಟ್ ವಿವರಗಳು ನೀಡುವವರನ್ನು ತೋರಿಸುತ್ತವೆ, ಮತ್ತು ಆಜ್ಞಾ ಸಾಲು ಸಾರಾಂಶವಿಲ್ಲದೆ ಅದನ್ನೇ ವರದಿ ಮಾಡುತ್ತದೆ:

openssl s_client -connect example.com:443 -servername example.com

ನಂತರ ಕೌಂಟರ್ಗಳಿಂದ ನಿರಾಕರಿಸಿದ ಹ್ಯಾಂಡ್ಶೇಕ್ ಅನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಿದ ಒಳಗಿನ ಸಂಚಾರದಿಂದ ಬೇರ್ಪಡಿಸಿ. ಯಾವುದೇ ಡ್ರಾಪ್ ನಿಯಮಕ್ಕಿಂತ ಮೊದಲು ಸಾರಿಗೆ ಪೋರ್ಟ್ ಅನ್ನು ಲಾಗ್ ಮಾಡಿ ಮತ್ತು ಪ್ರಯತ್ನದ ನಂತರ ಅವನ್ನು ಓದಿ:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

ಹೊರಗಿನ ಸಾಕೆಟ್ನಲ್ಲಿ ಯಾವುದೇ ಲಾಗ್ ಸಾಲು ಇಲ್ಲದಿರುವುದು ಹ್ಯಾಂಡ್ಶೇಕ್ ಎಂದೂ ಹೊರಗೆ ಹೋಗಲಿಲ್ಲ ಎಂದರ್ಥ, ಹಾಗಾಗಿ ಮಾರ್ಗ ಸುರಂಗವನ್ನು ನಿರಾಕರಿಸುತ್ತಿದೆ. ಪೂರ್ಣಗೊಂಡ ಹ್ಯಾಂಡ್ಶೇಕ್ ಮತ್ತು ಕೆಲವೇ ಗಮ್ಯಸ್ಥಾನಗಳು ವಿಫಲವಾಗುವುದು ಸುರಂಗ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಒಳಗಿನ ನೀತಿ ಮಾಡುವುದಿಲ್ಲ ಎಂದರ್ಥ. ಎರಡೂ ಫಲಿತಾಂಶಗಳಿಗೂ ಪೇಲೋಡ್ನ ಒಂದು ಬೈಟ್ ಓದುವ ಅಗತ್ಯ ಬರಲಿಲ್ಲ.

ನಿಜವಾಗಿ ನಡೆಯುವ ಓದುವಿಕೆ ಅಂಚುಗಳಲ್ಲಿದೆ: ವಿಭಜಿತ ಸುರಂಗ ಒಳಗಿನ HTTPS ಅನ್ನು ಕಾರ್ಪೊರೇಟ್ ಪ್ರಾಕ್ಸಿಗೆ ಒಪ್ಪಿಸುತ್ತದೆ, ಮತ್ತು ಉದ್ಯೋಗದಾತರ ಒಡೆತನದ ಕೇಂದ್ರೀಕರಣ ಸಾಧನ ನಿರ್ಗಮನದಲ್ಲಿ ಎಲ್ಲವನ್ನೂ ಬಯಲು ಮಾಡುತ್ತದೆ. ನೀವು ಏನೇ ಕಂಡುಕೊಂಡರೂ, ಸಂಪರ್ಕವನ್ನು ಒತ್ತಾಯಿಸಲು ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡಬೇಡಿ, ಏಕೆಂದರೆ ಆ ಪರಿಶೀಲನೆಯೇ ಪರಿಶೀಲನೆಯನ್ನು ಆಕ್ರಮಣಕಾರರಿಂದ ಬೇರ್ಪಡಿಸುವ ಏಕೈಕ ವಿಷಯ.