Onion-Déngscht géint VPN-Déngscht: verschidden Zougangsmodeller

D'Leit beschreiwen en Onion-Déngscht an en Déngscht, deen een nëmmen iwwer VPN erreecht, als zwou Variante vun der selwechter Iddi: de Port verstoppen, déi geheim Adress deelen. Si ënnerscheede sech doranner, u wat d'Adress gebonnen ass, wien se erreeche kann a wat muss geschéien, ier eng Ufro ukënnt. Dat engt ass eng Treffpunkt bannent Tor, dat anert eng Route bannent engem private Reseau. Si als austauschbar ze behandelen ergëtt Entwërf, déi weder privat nach ënnerhalbar sinn.

De Mythos: béid Entwërf sinn just eng verstoppte Dier

Déi gemeinsam Eegeschaft ass real awer dënn: keen Entworf setzt d'Administratiounsschnittstell op en direkt erreechbare ëffentleche Port. Alles duerno geet auserneen. Eng Onion-Adress gëtt aus dem eegene Schlëssel vum Déngscht ofgeleet, dofir ass den Numm un eng Identitéit gebonnen; eng VPN-Adress ass just eng Adress bannent engem Reseau, an deen Dir opgeholl gouft. Dat engt verstoppt den Déngscht bannent enger Iwwerlag, dat anert léisst Iech an eng privat Topologie. Dat zweet als Synonym vum éischten ze gesinn, do fänkt d'Verwirrung un.

Keng vun den zwou Eegeschaften ass eng Sécherheetskontroll fir d'Applikatioun selwer. Eng verstoppte Plaz fléckt d'Software hannendrun net, an eng privat Route füügt der Login-Säit keng Authentifikatioun bäi. Béid Entwërf brauchen nach ëmmer déi eege Permissioune vun der Applikatioun, a béid brauchen nach ëmmer een, deen fir Aktualiséierungen an Erhuelung verantwortlech ass.

Op wat eng Onion-Adress tatsächlech weist

Eng Onion-Adress vun der Versioun v3 kodéiert de ëffentleche Schlëssel vum Déngscht, dofir kann een keng Adress fir en Déngscht wielen, deen een net kontrolléiert. De Client verbënnt sech iwwer Tor mat engem Treffpunkt, an den Déngscht erreecht dee selwechte Punkt vu senger Säit; keen normale Ausgangsknuet dréit dës Verbindung bis zum Déngscht. Den Numm ass eng Identitéit, keng DNS-Notiz.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Dofir hëlleft et näischt, eng Route oder en hosts-Antrag fir en onion-Numm dobäizemaachen. D'Opwierkung ass net de Mechanismus; den Tor-Client an seng Circuiten sinn et. Wann den Déngscht fir eng kleng Grupp Mënschen geduecht ass, kann d'Onion-Client-Autorisatioun e Schlëssel verlaangen, ier d'Verbindung ugeholl gëtt, awer dat ass nach ëmmer keen App-Login. D'Adress ze publizéieren ass och eng bewosst Handlung, well jiddereen, deen se léiert, eng Verbindung versiche kann, ausser Dir hutt se ageschränkt.

Hält op, wann den eenzegen Grond fir den Onion-Entworf ass, d'Konfiguratioun vun der Authentifikatioun ze vermeiden. D'Iwwerlag bitt dat net, an Dir baut se spéider ëmmer nach.

Wat eng VPN-Route tatsächlech gëtt

Eng VPN léisst en Apparat an en Reseau an gëtt him eng Route bis engem Gateway oder engem Subnetz. Den Déngscht hannert deem Gateway gesäit eng Adress aus dem Tunnelpool a wendt déi Autorisatioun un, déi en huet. D'Route seet näischt doriwwer, wien de Benotzer ass; se seet, wou d'Pakete kënne higoen.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Deen Modell passt zu enger bekannter Grupp mat verwalteten Apparater, well de Gateway den Apparatstat erzwinge kann an den Reseau auditabel ass. Hie passt schlecht zu anonymen oder ad-hoc Visiteuren, déi een als éischt misst astellen. Den eegene Login vun der Applikatioun entscheet nach ëmmer, wat en ugeschlossene Benotzer liese kann. D'Erreechbarkeet mat der Erlaabnis ze verwiesselen ass de Wee, op deem eng VPN um Enn en ganze Subnetz un all deene gëtt, déi sech verbannen kënnen.

Hält op, wann d'Publikum onbekannt ass oder sech stänneg ännert. Friemen an en private Reseau astellen, fir hinnen eng Säit ze weisen, ass eng grouss Verflichtung am Verglach zum Publizéiere vun engem Déngscht.

Tëschent hinne wielen, a wat d'selwecht bleift

Wielt den Onion-Modell, wann d'Publikum technesch ass, den Déngscht guer keng ëffentlech Adress dierf hunn an Dir d'Ufuerderunge vum Tor-Client akzeptéiere kënnt. Wielt de VPN-Modell, wann d'Publikum eng definéiert Grupp ass, där hir Apparater Dir verwalt an där hiren Zougang Dir op Reseausniveau wëllt protokolléieren. Keng vun deenen zwou Wielene hëlt d'Bedierfnes fir App-Authentifikatioun, Patches oder en Erhuelungswee ewech. Keng ass automatesch méi privat am Sënn, deen fir Är Benotzer zielt.

Schreift a béide Entwërf op, wie den Déngscht erreeche kann, wéi se identifizéiert ginn a wat geschitt, wann en Identifiant verluer geet. D'Äntwert fir en Onion-Déngscht enthält seng Client-Autorisatiounsschlësselen an d'Adress selwer; d'Äntwert fir eng VPN enthält de Kont, den Apparat an d'Gateway-Politik. Dat si verschidde Lëschten, a just eng dovun wäert dem nächsten Administrateur evident sinn.

De Verglach hält op, wou d'Applikatioun ufänkt. Eng verstoppte Adress an eng privat Route si Choixe vum Transport, an d'Applikatioun muss nach ëmmer entscheeden, wat eng Ufro dierf maachen. Halt dës Entscheedungen a getrennten Dokumenter, an keen Entworf wäert roueg d'Aarbecht vum aneren iwwerhuelen.