D’Exit-IP vun enger VPN ass kee Beweis fir en Tunnel: wat Serveren gesinn

Een freet no engem Service, deen nëmme VPN-Benotzer erreeche kënnen, an déi naiv Ëmsetzung ass eng Lëscht vun Exit-Adressen zouzeloossen. D’Lëscht mécht eppes Richteges: se beschränkt, wien sech verbannen kann. Se beweise net, datt en Tunnel benotzt gouf, well d’Adress gehéiert deem, deen den Ausgang bedreift, an deen Operateur kann den Trafic vun engem jee aneren weiderleeden. D’Lück tëschent dësen Aussoen ass de ganze Designproblem.

De Server gesäit eng Adress pro Verbindung

Eng Verbindung kënnt mat enger Quelladress an engem Zilport un, an dat ass alles, wat d’Netzwierkschicht mellen. Wa e Client en Tunnel benotzt, kommen d’Paketen, déi Ären Listener erreechen, vum Ausgang oder vun der Iwwersetzung dovirun. D’Adress vum Client selwer, meeschtens privat, erschéngt ni. Eng Firewallregel, déi fir de LAN-Beräich vum Client geschriwwen ass, mécht dowéinst guer näischt.

Alles no dëser Quelladress sinn Applikatiounsdaten, an d’Applikatioun kann hinnen nëmme sou wäit vertrauen, wéi se se authentifizéiert.

Test, wéi Ären Ausgang ausgesäit

Kuckt de Wee vun zwou Säiten un, ier Dir eng Regel schreift. D’Sicht vum Client op säin Ausgang an d’Sicht vum Server op d’Verbindung sinn déi zwou Tatsaachen, déi zielen.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Den éischte Befehl mellt déi ëffentlech Adress, ënner där de Client erschéngt, an dat ass de Wäert, deen all Erlaabnislëscht enthalen muss. Den zweete weist etabléiert Verbindungen um Server mat hiren Peer-Adressen, an domat wäert d’Regel wierklech iwwerenee stëmmen. Wa béid net mat Ärem mentale Modell iwwerenee stëmmen, korrigéiert de Modell, ier Dir d’Politik ännert. Eng Firewall fir eng Clouddatebank, eng Erlaabnislëscht fir eng Applikatioun an e Load Balancer kënnen all eng aner Iwwersetzungsschicht gesinn.

Nëmmen eng vun den zwou Exit-Sätz kann opgelëscht ginn

Deen een Fall ass am Moment vun der Ufro iwwerpréifbar an deen aneren net, wat ganz ënnerschiddlech Garantie gëtt.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Déi publizéiert Tor-Exit-Lëscht kann ofgeruff a verglach ginn, ofhängeg vum Alter vun der Lëscht an der eegener Politik vun all Exit, sou datt eng Refusregel géint bekannt Exits duerchsetzbar a kontrolléierbar ass. Et gëtt kee gläichwäertegt Register fir kommerziell VPNen. D’Adressë rotéieren, vill Ubieder publizéieren näischt, an en Tunnel kann op enger gelountener Cloudadress lafen, déi ni zu enger VPN gehéiert huet. D’Lëscht, déi Dir zesummestellt, ass eng Momentopnam vun observéierten Adressen, an hir Erweiderung op Hosting-Beräicher setzt onverbonnen Aarbechtslaascht derbäi, ouni Beweis derbäizesetzen.

Benotzt Adressen als Politikinput, net als Beweis

Entscheet, fir wat d’Regel do ass. Eng Netzwierkbeschränkung soll enk bleiwen, déi observéiert Adress mat hirem Datum an hirem Grond festhalen, a legitime Benotzer e Wee zréck ginn, wa sech hiren Ausgang ännert. Zougangskontroll brauch en authentifizéiert Kont oder en ënnerschriwwenen Token, well nëmmen déi eng Ufro un eng Identitéit bannen. Risikobewäertung kann d’Adress als een eenzegt onzouverlässegt Signal benotzen, andeems se seng falsch Positiver a seng blann Plaze akzeptéiert. D’Regel als Produktentscheedung ze schreiwen ass éierlech; se als Verifikatioun ze schreiwen, datt en Tunnel existéiert, ass et net.

Déi spigelbildlech Ufro, déi richteg Adress vum Benotzer hannert enger VPN erëmzefannen, schléit aus dem selwechte Grond fehl: eng Verbindung dréit eng Adress, an eng Ännerung tëschent Sessiounen ass mat verschiddenen Erklärungen ze vereenbaren. Behandelt de fréiere Wäert als Geschicht, net als Wourecht.