Тармак шифрлоону бузбастан VPN'иңизди тосо алабы?
Шифрлоо мазмунду коргойт, жеткирүүнү эмес. Блоктоо тизмелерин, уруксат тизмелерин жана өчүрүүлөрдү салыштырып, андан кийин бир байкоо чындыгында эмнени тастыктай аларын сураңыз.
Эч бир операторго туннелди токтотуу үчүн сессия ачкычы керек эмес: жолдогу пакеттерди таштаңыз — ал иштебей калат, криптография болсо өз долбоору убада кылгандай күчтүү бойдон калат. Шифрлоо сүйлөшүү алып жүргөн нерсени коргойт, кайсы бир тармактын аны алып жүрүүгө даярдыгын эмес. Бул эки касиетти ажыратуу бөгөттөлбөстүк тууралуу талашты кайсы саясат күчүндө жана ал канчалык алыска жетери тууралуу суроого айландырат. Төмөнкү салыштыруу жеткиликтүүлүк менен купуялуулукту өз-өзүнчө кармайт, анткени VPN'ди бөгөттөө тууралуу ишенимдүү билдирүүлөрдүн көбү аларды үнсүз бириктирет.
Жеткиликтүүлүк — жол кабыл алган чечим
Ар бир транспорт пакеттерди жиберген жолго көз каранды, жана бул жердеги ар бир саясий суроо ошол жиберүү чечимине келип такалат. Пакеттерди таштаган эреже купуялуулукка тийбестен жеткиликтүүлүктү өзгөртөт, ошентип туннел мыкты шифрленген жана ошол эле учурда таптакыр пайдаланууга жараксыз болушу мүмкүн. Бул натыйжанын эч бир бөлүгү шифрди бузууну же ачкычты калыбына келтирүүнү талап кылбайт. Ал жолду көзөмөлдөөнү гана талап кылат.
Чаташыу көбүнчө эки касиет бир сөздү бөлүшкөндөн башталат. Күчтүү криптография агымды ким окуй аларын айтат; ал ортодогу түзмөк аны өткөрөбү дегенди эч айтпайт. Ошондуктан VPN'ди бөгөттөө мүмкүн эмес деген ырастоо анын астында экинчи ырастоону талап кылат, тактап айтканда жолдо эч ким пакеттерди таштоого даяр эмес дегенди.
Аткаруу стилдери жана ар биринин баасы
Үч стиль реалдуу саясаттардын көбүн камтыйт жана алар эмнени билиши керек, аларды жүргүзүү канча турат жана дагы ким жапа чегет дегенде айырмаланат. Алардын ар бири эч нерсени дешифрлөөсүз туннелден баш тарта алат. Айырмачылыктар маанилүү, анткени ошол эле сөз — бөгөттөө — үчөөнө тең колдонулат.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Бул таблица чыгым картасы, рейтинг эмес. Блоктоо тизмесин баштоо арзан, так кармоо кымбат; уруксат тизмеси ачууну уруксат берилген топтомду тейлөөгө алмаштырат, ал эми өчүрүүгө такыр классификация керек эмес. Аларды техникалык назиктик эмес, ар биринин туруктуу күч-аракетти кайда салганы бөлөт. Кагазда жөнөкөй көрүнгөн саясаттын адатта башка жерде жашыруун тейлөө сабы болот.
Блоктоо тизмеси даректин кызматты канчалык жакшы атаганы менен чектелет
Блоктоо тизмеси мурун аныкталган даректерден баш тартып, калганын жалпы жеткиликтүү калтырат. Аны аткаруу үчүн ачык текст эмес, даректер жана порттор керек, ошол эле аны башында арзан кылат. Чыгым кийин келет, анткени бир кезде бир провайдерди белгилеген диапазон кийин ондогон байланышсыз ижарачыны жайгаштырышы мүмкүн. Ар бир дарек өзгөрүүсү тизмени оңдоону талап кылат, ал эми ар бир эскирген жазуу күнөөсүз трафикти өзү менен алып кетет.
Бул моделде тактык даректин кызматты канчалык жакшы аныкташы менен чектелет, ал эми жыш колдонулган жалпы акыркы чекит начар идентификатор. Бул структуралык чек, ишке ашыруу кемчилиги эмес, ошондуктан жакшыраак куралдар аны жойбойт. Бул блоктоо тизмелеринин эмне үчүн өсүшүн да түшүндүрөт: ар бир жаңы акыркы чекит кичинекей кошумча болуп көрүнөт, ал эми каптал зыяны тизме менен өсөт.
Уруксат тизмеси тейлөө жүгүн башка жакка жылдырат
Уруксат тизмеси демейкини теңкерет, ошентип алдын ала тандалган даректер же трафик түрлөрү гана өтө алат. Ага ар бир тыюу салынган акыркы чекитти саноо талап кылынбайт, бул тыюу салынган топтом чоң же тез өзгөргөндө жардам берет. Анын ордуна ага уруксат берилгендин тейленүүчү аныктамасы жана ошол аныктамага туура келген аткаруу керек.
Порт номурлары ушундай аныктамадагы адаттагы алсыз жер. Портко уруксат берүү аны колдонушу мүмкүн болгон ар бир колдонмону аныктоо менен бир эмес, ошондуктан портка негизделген уруксат тизмеси көбүнчө автордун ойлогонунан көбүрөөк өткөрөт. Протокол изинин да башка бурчтан ушундай көйгөйү бар, анткени алар трафиктин формасын аныктайт, ниетин эмес. Ошондуктан уруксат тизмеси өзүнөн өзү блоктоо тизмесинен так эмес; ал башка нерсеге карата так.
Бир байкоо эмнени тастыктай алат жана эмнени тастыктабайт
Бөгөттөө тууралуу кандайдыр бир ырастоону төрт суроону колдо кармап окуу керек: кайсы кирүү тармактары, кайсы даректер, кайсы протоколдор жана кайсы байкоо мезгили. Бүгүн бир уюлдук тармакта көрүнгөн ишке ашпоочулук эртең башка тармактан ошол эле акыркы чекит тууралуу эч айтпайт. Бир жолу иштеген туннел да туруктуу жеткиликтүүлүк тууралуу эч айтпайт.
Ишке ашпоочулуктун формасын анын себеби тууралуу теория түзгөнгө чейин байкоого болот. Үнсүз тыгылып калуу, дароо баш тартуу жана туташкандан кийинки кайра кошуу ар башка аткаруу стилдерин көрсөтөт, аларды эки буйрук ажыратат:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comУбакыт чеги менен бүткөн тыгылып калуу үнсүз таштоону, тез баш тартуу жолдогу баш тарткан түзмөктү, ал эми туташкандан кийинки кайра кошуу жок маршрутту эмес, абалдуу кийлигишүүнү көрсөтөт. RFC 9505 цензура ыкмаларына сереп ошол формалардын артындагы көзөмөл чекиттерин жана кийлигишүү схемаларын сүрөттөйт. Бирок алардын эч бири саясаттын канчалык кеңири колдонуларын айтпайт. Туруктуулук жеткиликтүүлүктөн күчтүүрөөк ырастоо: акыркы чекиттер, программалык жабдуу, саясаттар жана уруксат берилген кызматтар — баары өзгөрөт, ошондуктан белгисиз натыйжалуулук бир учурда көрүнгөн даректердин тизмесин эмес, аткаруунун уланышы тууралуу божомолдорду талап кылат.