Корпоративдик firewall VPN ичинде эмнени көрө алат жана эмнени көрө албайт

Ошол эле ноутбук үйдөн VPNге жетет, ал эми кеңседен туташа албайт, демек кимдир бирөө трафикти окуп жатат. Тыюу салуу жана окуу — өзүнчө ыйгарым укуктар, жана экинчисине гана жолдогу орун плюс клиент ишенген сертификат керек. Сиздин кол алышууңузду таштаган ортодогу куту сиз жөнөтө турган нерсе жөнүндө эч нерсе үйрөнгөн эмес. Ушул экөөнүн кайсынысына туш болгонуңузду аныктоо — бүт иш.

Тыюу салуу жана окуу — ар башка ыйгарым укуктар

Баш тартуу арзан жана чуулуу: сокет ачылат жана эч нерсе жооп бербейт, же дароо кайра орнотуу келет. Мунун эч бири текшерүүнү билдирбейт, анткени бир да жүк зымынан өткөн жок.

Окуу үчүн коргоону бүтүргөн, өзүн сертификат менен далилдеген жана андан ары жаңы туташуу ачкан акыркы чекит керек. Ал чекит жолдо турушу жана клиент ишениши керек. Пакеттерди гана өткөрүп жиберген firewallдын орду да, ишеним кагазы да жок.

Каптама акысыз эмнени берет

Ар бир туннел пакетинин сырты бар, жана сырт маршрутталуучу болушу керек. Бул эки дарек, протокол, порт жана узундук, кошумча убакыт жана көлөм дегенди билдирет. Кайсы болбосун маршрутизатор бул талааларды эчак эле иштетет, ал эми NAT өз таблицасын ырааттуу кармоо үчүн даректи жана портту кайра жазат. Жүк жабык бойдон калат, ошондуктан байкоо эки хосттун ортосунда туннель бар деген фактыда токтойт.

Хост аты алардын арасында жок. Сайттар башка эшиктерден агыллат, эң кенен — DNS: ноутбук дагы эле жергиликтүү чечүүчүдөн сураса, аттар ачык көрүнөт.

Убакыт жана көлөм аша чаппай сыйга татыктуу. Мүнөтүнө байт чоң өткөрүү 14:20до башталганын көрсөтө алат; кайсы файл жылганын көрсөтө албайт. Бул жүрүм-турум жөнүндө чыныгы ачып берүү жана мазмунду окуудан башка категория.

TLS кармоо үчүн сиз эчак ишенген тамыр керек

Текшерүүчү түзмөк TLSды бузбайт; аны бүтүрөт. Клиентке уюмга таандык тамырдан сертификат жооп берет, ал эми экинчи туташуу чыныгы багытка кетет. Клиент муну кабыл алат, анткени ал тамыр анын ишеним кампасында, ошондуктан башкарылуучу ноутбук эч кандай эскертүү көрсөтпөйт. Криптография эч качан жеңилген эмес; акыркы чекит жылдырылды.

Ошондуктан бул түзүлүш далил калтырат. Көрсөтүлгөн чынжырдагы чыгаруучу ачык CAга эмес, уюмга таандык, жана клиент муну атайын куралсыз эле көрө алат. Ички тамыр менен бүткөн чынжыр — кармоонун кол тамгасы, бузулуу эмес.

Эмне үчүн VPN каналы HTTPS сессиясы эмес

VPN маалымат каналы текшерүүчүгө мындай таяныч бербейт. IKEv2 жана WireGuard өз кол алышууларын жана ачкыч графиктерин жүргүзөт, бүтүрө турган TLS жок, ал эми OpenVPN өзүнүн башкаруу каналы үчүн TLSды өзгөртүлгөн түрдө карызга алат, анан маалыматты өз ыкмасы менен коргойт. HTTPS үчүн курулган прокси ал сессияны талдай алган нерсе катары таанууга жакын эмес.

Сессияны талдай албаган түзмөк аны баары бир таштай алат. Ошондуктан VPN тосуу көбүнчө сертификат эскертүүсүнө эмес, убакыт бүтүүсүнө окшошот, жана ошондуктан өзгөчөлүк эч нерсени өзгөртпөйт.

Өз машинаңыздан текшериңиз

Сайт сунуш кылган чынжырдан баштаңыз. Браузердеги сайт маалыматы чыгаруучуну көрсөтөт, ал эми буйрук сабы кыскачасыз эле ошону билдирет:

openssl s_client -connect example.com:443 -servername example.com

Андан кийин эсептегичтер менен четке кагылган кол алышууну чыпкаланган ички трафиктен бөлүңүз. Кайсы болбосун таштоо эрежесинин алдында транспорт портун жазып, аракеттен кийин окуңуз:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Сырткы сокетте журнал сабынын жоктугу кол алышуу эч качан чыкпаганын билдирет, демек жол туннелди четке кагат. Бүткөн кол алышуу жана бир нече багыттар гана ийгиликсиз болушу туннель иштеп, ичиндеги саясат иштебей жатканын билдирет. Эки жыйынтыктын эч бири жүктүн бир байтын окууну талап кылган жок.

Чынында болуп жаткан окуу четтеринде: бөлүнгөн туннель ички HTTPSди корпоративдик проксиге берет, ал эми жумуш берүүчүгө таандык концентратор чыгууда баарын ачат. Эмне тапсаңыз да, туташууну мажбурлоо үчүн сертификат текшерүүсүн өчүрбөңүз, анткени ошол текшерүү текшерүүнү кол салуучудан ажыратат.