Катар эки VPN секирик: трафигиңизди чындыгында ким көрөт?

Ар бир кардар профили бир серверди атайт, ошондуктан колдонуучунун ордунан бир туннель жана коргоо бүтө турган бир жер бар. Ал биринчи шлюздан кийин эмне болорун кардар эч качан көрбөйт, жана эки кеңири тараган долбоор текшерүүдө абдан башкача жүрүм-турум көрсөтөт. Сериялык чынжырда биринчи шлюз чечмелеп, кайра шифрлейт. Уяланган чынжырда сырткы катмарды алып салат жана өзү ача албаган ички туннелди жиберет. Секириктердин саны экөөндө тең бирдей, ошондуктан айырманы саноо эмес, тартуу керек.

Кардардан баштап эки учун тең атаңыз

Колдонуучу баштаган жерден, башкача айтканда туташуу профилинен баштаңыз. Анда бир алыскы дарек, бир аутентификация ыкмасы жана долбоор колдосо, маршруттардын тизмеси бар. Кардардан A шлюзуна чейинки ошол сырткы туннелди белгилеп, ага мисал даректерди бериңиз: кардардын туннель дареги 10.77.0.2, A-нын 10.77.0.1 жана A-нын коомдук акыркы чекити 198.51.100.10, TEST-NET-2 документтик диапазонунан алынган, мисалдагы эч нерсе чыныгы хост менен кагылышпашы үчүн.

Бул профилде B шлюзу жөнүндө эч нерсе айтылбайт, жана бул кемчилик эмес. Экинчи секирик A-га таандык, кардардын жалгыз милдети трафикти A-га жеткирүү жана кайтып келгенди кабыл алуу. A туннелди бүтүрөбү, жибереби же жаңысын ачабы — бул суроого ушул серептин калган бөлүгү жооп берет, жана ал A эмнени окуй аларын аныктайт.

Сериялык: A чечмелейт, анан кайра шифрлейт

Сериялык долбоордо A трафикти эки жолу бүтүрөт. Ал кардардан коргоону алып салат, колдонмонун IP пакетин алат, анан бул пакетти A B тарапка түзгөн экинчи туннел аркылуу жиберет. Бул эки аракеттин ортосунда пакет A-нын жиберүү жолунда жеке дарекке багытталган кадимки IP пакет катары турат.

Бул ачык айтууга татыктуу эки натыйжа берет. A ички пакетке саясат колдоно алат: маршруттар, чыпкалоо эрежелери жана булак менен даректин журналы, ошондой эле A эки топтом каттоо маалыматын сактоого тийиш: бири кардар үчүн сервер катары, экинчиси B-нин кардары катары. Коргоо ар бир учурда бар, бирок корголгон объект A-да өзүнүн инсандыгын өзгөртөт.

Бул A колдонмонун ачык тексттерин окуйт дегенди билдирбейт. Кардар менен кызмат TLS иштетип, бири-биринин сертификаттарын текшергенде, A окулуучу сурам эмес, TLS жазуулар агымын көрөт. Бул коргоонун кайда бүтөрүн ырастоо үчүн туннелдин схемасына эмес, кызматтын сертификаттар чынжырына кароо керек.

Уяланган: A сырткы катмарды гана алат

Уяланган долбоордо кардар адегенде B-ге ички туннель курат, анан ошол туннелди сырткы туннелдин ичинде A-га чейин алып жүрөт. A сырткы аталышты алып салат, ички туннелди табат жана анын ачкычтарын сактабастан жиберет, ошондуктан ички коргоо дагы эле B-де бүтөт.

Ошондо кардардын жогорку каналы эки катмарды, ал эми A менен B ортосундагы жол бир катмарды ташыйт. A ички туннелдин сырткы даректерин көрөт, бул трафик бар экенин жана болжол менен кайда баратканын билүүгө жетет, ал эми жүктү окууга жетпейт. Сериялык учурдан айырманын баары ушул, жана аны эч бир секирик эсептегичи көрсөтпөйт. A дагы эле кыла ала турганы — өзү окуй албаган нерсени жиберүүдөн баш тартуу, жана бул ошол шлюздун операторуна дайыма жеткиликтүү.

Уялоо ушул касиет үчүн төлөйт. Ар бир катмар аталыш чыгымын кошот, ошондуктан MTU жана MSS пландоосу тазалыктан эмес, милдеттүү болот, ал эми бир катмар менен иштеген жол эки катмар менен чоң пакеттерди үнсүз жоготушу мүмкүн. Ар бир катмарга өзүнүн кайра туташуу жана тирүү кармоо жүрүм-туруму керек, ал эми бир катмардагы бузулуу экинчиси аркылуу жарым-жартылай үзгүлтүк сыяктуу көрүнөт.

Туннелдерди гана эмес, байкоочуларды да тартыңыз

Туннелдер — сүрөттүн жеңил бөлүгү. Долбоордун маңызы байкоочулар, ошондуктан ар бир көз караш үчүн бир сап жазып, ар бири чындыгында эмнени окуй аларын толуктаңыз.

Эки сап дайыма аралашат: A-нын оператору жана кардардын туннелинин жеткирүүчүсү. Алар бир субъект болушу мүмкүн, ал эми өзүнчө шлюз аттары аларды көз карандысыз кылбайт. Көз карандысыз менчик өзүнчө административдик көзөмөлдү, өзүнчө каттоо маалыматтарын жана өзүнчө журналдоону талап кылат.

Метамаалыматтар эки долбоордо тең сакталат. Убакыт, пакет өлчөмдөрү жана туташуулардын саны ар бир секирикте байкоого жеткиликтүү бойдон калат, ошондуктан эки секирик сигналды жок кылбастан, корреляциянын баасын жогорулатат. Көрүнбөстүккө убада берген долбоорду бирөө ага таянбастан мурун ушул тизме менен салыштыруу керек.

Тандоодон мурун бузулуу жолдорун басып өтүңүз

Кардар тараптан атайын бузуңуз, колдонуучу кезигүүчү тартипте. Интерфейстен жана анын MTU-сунан баштаңыз, анткени уялоо пакет өлчөмүндө аутентификацияга караганда алда канча эрте ишке ашпай калат.

ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1

Анан коргоо чекиттерин божомолдобостон ырастаңыз. Көтөрүлгөн кайсы туннелдин ичинен болбосун кызматтан анын сертификатын сураңыз жана кардар көргөн чынжырды кызмат чындыгында сунуш кылган чынжыр менен салыштырыңыз. Кайра кол койгон же кармап калган шлюз ошол сертификатты өзгөртөт, жана текшерүү бир буйрук менен көрүнөт.

openssl s_client -connect intranet.example.com:443 -brief < /dev/null

Кайра туташуу матрицасы менен бүтүрүңүз: кардардын туннели түшөт, B-нин туннели түшөт, A менен B ортосундагы жол өзгөрөт. Эмне кайтат, эмне кайтпайт жана ички туташуу өзүнүн пландалган ташуучусунан тышкаркы маршрутка түшөбү — белгилеп жазыңыз. Ар бир сыноо колдонгон даректерди жазыңыз, анткени аны башка кирүү тармагында кайталоо башка суроого жооп берет. Ар бир кайра туташуудан кийин MTU текшерүүсүн да кайталаңыз, анткени өзгөргөн жол бир да конфигурация сабы кыймылдабастан пайдалуу өлчөмдү төмөндөтүшү мүмкүн.

A ички пакетке саясат колдонушу керек болгондо же кардар эки катмарлуу туннелди иштете албаганда сериялыкты тандаңыз. Ички жүк A-да окулбай калышы керек болгондо уялоону тандаңыз. Тандоону анын байкоочулары жана MTU сандары менен жазып коюңуз, ошондо кийинки адам бир суроого жооп берүү үчүн бүт сүрөттү кайра тартпайт.