Жергиликтүү тармак VPN аркылуу дагы эмнени көрөт

Бирөө VPN трафигин жашырабы деп сураган сайын үч байкоочу бир суроого биригет: ал туташкан тармак, анын колундагы машина жана туннелдин оператору. Ар бири башка нерсе билет, ал эми туннель ошол көз караштардын ар бирин башкача өзгөртөт. Тескери багытта иштеп, айтылып жаткан бекемдөөдөн баштоо пайдалуу, анткени бекемдөө текшерүүгө туруштук бериши керек нерсе. Кайсы бекемдөө керек экенин чечип, анан куралдарды ошону менен салыштырыңыз.

Биринчи бекемдөө: эч ким трафикти окуй албайт

Эң тар бекемдөөдөн баштаңыз: пайдалуу жүк окулбай турган бойдон калат. Жолдогу пассивдүү байкоочу TLS сессиясынын ичин көрө албайт, ошондуктан туннель HTTPS колдонуп жаткан сайтка аз нерсе кошот жана эки чекки чекитке каршы эч нерсе кошпойт. Бул бекемдөөнү түзмөктү көзөмөлдөгөн адам бузат, анткени текшерүү проксиясы байланышты токтотуп, аны машина мурунтан ишенген тамыр менен кайра кол койот. Ошондуктан сертификат тизмегинде тамырды орноткон уюмдун аты турса да кулпу дагы эле көрүнөт.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-то бул түтүк машинанын ачкычтар топтомундагы ар бир сертификат үчүн бир субъект сабын басып чыгарат, терезе ачпастан, ал эми Windows-то certutil -store Root certlm.msc графикалык түрдө көрсөткөн ошол эле кампаны тизмелейт. Мектепке, жумуш берүүчүгө же тармактык коопсуздук продуктусуна таандык тамыр — издеш керек болгон жазуу. Бирөөнү табуу тосуп алуу мүмкүн экенин гана далилдейт, анын болуп жатканын эмес.

Бул тууралуу эмне кыла аларыңыз техникалык эмес, саясат маселеси. Өзүңүзгө таандык эмес жабдуудан профилди же текшерүү тамырын алып салуу адатта жарактуу пайдалануу келишимин бузат, ал эми башкаруу тутуму муну байкап, кайра колдонууга жейт, ошондуктан түзмөктүн ээси сиздин трафигиңизди окубашы керек деген талап башка параметрди эмес, башка түзмөктү талап кылат.

Экинчи бекемдөө: эч ким кайда барарыңызды көрбөйт

Бара турган жер кыйыныраак бекемдөө, анткени барак жүктөлө электе эки ачыктоо болот. Суроо тутум колдонууга конфигурацияланган чечүүчүгө кетет, ал эми жооп аны ташыган тармакка көрүнөт. Андан кийин TLS кол алышуусу суралган сервердин атын ачык түрдө ташыйт, эгер Encrypted Client Hello эки чекте тең колдоого алынбаса. Эки ачыктоонун экөө тең шифрди чечүүнү камтыбайт, ошондуктан туннелдин экөөнө тең таасири жок.

resolvectl status | grep -A2 "Link"
nslookup example.com

Кайсы чечүүчү чындыгында колдонулуп жатканы ачыкка чыгууну аныктайт жана аны талкуулоонун ордуна өлчөөгө болот. Linux-та resolvectl status ар бир туташуу үчүн DNS серверлерин басып чыгарат, ал эми анын чыгарылышы сайттын чечүүчүсү жооп берип жатабы же таңылганын айтат. Windows ошол эле суроого nslookup example.com менен жооп берет, анын чыгарылышынын биринчи блогу жооп берген DNS сервери.

Ноутбук туннель көтөрүлө электе сайттын чечүүчүсүнөн сураса, же профиль алмаштыруучу серверсиз келип эскиси колдонууда калса, администратор эч нерсени шифрден чыгарбастан хост аттарын чогулта берет. Браузердеги шифрленген DNS же таңылган чечүүчүнү айланып өтөт, же толугу менен блоктолуп, жабык абалда ишке ашпайт. Чыгуу оператору өз жагынан ошол эле аттарды көрөт. Ошондуктан чечүүчүнү алмаштыруу бул ачыктоону туннель берүүчүдөн алыстатпайт.

Үчүнчү бекемдөө: эч ким сиздин туташканыңызды билбейт

Үчүнчү бекемдөө — туннель колдой албаган бекемдөө, анткени пакеттер дагы эле жергиликтүү тармактан өтөт. Ал тармак чекки чекиттин дарегин, болжолдуу көлөмүн, убактысын жана бир узак жашаган шифрленген сессиянын бар экенин билет, бул бөгөттөөгө, чектөөгө же жөн гана байкоого жетет. Пакетти окуй албаган брандмауэр аны өткөрүүдөн баш тарта алат. Байкалуу — эч ким байкабагандык менен бирдей эмес: сиз байкоочуну жылдырдыңыз, аны жок кылган жоксуз.

Бөлүнгөн туннелдөө жана таңылган маршрутты этибарга албаган ар кандай колдонмо туннелден тышкары мурункудай көрүнгөн агымдарды жаратат. Так ушундай агымдарды кылдат байкоочу биринчи байкайт, ал эми кардардын маршрут таблицасы кайсы багыттар алынып салынганын көрсөтөт.

Ары жагындагы оператор ошол көрүнүштүн күзгү сүрөтүн кармайт: чыгуу дареги, убакыт, көлөм жана адатта сайттардын аттары. Сиздин берүүчү көз караш чекити бар тарапка айланат, бул көрүнбөөчүлүктөн башка бүтүм. Ишенген берүүчүнү тандоо — чыныгы чечим; жыйынтыкты байкалбаган деп атоо андай эмес.

Кайсы бекемдөө керек экенин чечиңиз

Кардарга тийишпестен мурун талапты бир сапка жазыңыз: мазмунду жашырыңыз, багыттарды жашырыңыз же такыр туташканыңызды жашырыңыз. Мазмунду HTTPS жана туннель мурунтан эле чечет, ал эми багыттар сайттын жабдуусун толугу менен айланып өткөн чечүүчү жана жолду талап кылат.

Үчүнчү талап ыңгайсыз, анткени бир жерде дагы эле көрүнүп тургандай туташкан нерсе бар, шифрленгенби же жокпу. Эч бир кардар параметри муну өзгөртпөйт. Эгер талап менен саясат ажырап калса, бул ажырым саясаттын ээси менен сүйлөшүүгө таандык, кардар опциясына эмес. Ага жооп бере алган адам — саясатты жазган адам.