Wat d’Lokalnetzwierk nach duerch Äre VPN gesäit

Dräi Observateure falen an eng eenzeg Fro zesummen, wann een freet, ob e VPN säin Trafik verstoppt: d’Netzwierk, un deem en hänkt, d’Maschinn an sengen Hänn an den Operateur vum Tunnel. Jiddereen léiert eppes anescht, an den Tunnel ännert jiddereen vun dëse Siichten op eng aner Manéier. Et hëlleft an déi aner Richtung ze schaffen an vun der Behauptung unzefänken, well d’Behauptung dat ass, wat enger Prüfung muss standhalen. Entscheet, wéi eng Behauptung Dir braucht, a vergläicht duerno d’Instrumenter domat.

Éischt Behauptung: kee kann den Trafik liesen

Fänkt mat der engster Behauptung un: d’Payload bleift onliesbar. En passive Observateur um Wee kann net an eng TLS-Sessioun erablécken, dofir bäit den Tunnel engem Site, deen HTTPS schonn notzt, wéineg bäi an deenen zwee Endpunkten näischt. Déi Partei, déi dës Behauptung brécht, ass deen deen den Apparat kontrolléiert, well en Inspektiounsproxy d’Verbindung fäerdeg mécht an se mat enger Wuerzel nei ënnerschreift, déi d’Maschinn schonn traut. Dofir erschéngt d’Schlass nach ëmmer, wärend d’Zertifikatskette den Numm vun der Organisatioun dréit, déi d’Wuerzel installéiert huet.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

Op macOS dréckt dës Pipeline eng Sujetzeil fir all Zertifikat an der Schlësselketten vun der Maschinn, ouni eng Fënster opzemaachen, an op Windows zielt certutil -store Root deeselwechte Stock op, deen certlm.msc grafesch weist. Eng Wuerzel, déi enger Schoul, engem Patron oder engem Netzwierksécherheetsprodukt gehéiert, ass den Andrag, no deem Dir sicht. Eng ze fannen beweist just, datt Ofhëlle méiglech ass, net datt se geschitt.

Wat Dir doriwwer kënnt maachen, ass eng Fro vun der Politik an net vun der Technik. En Profil oder eng Inspektiounswuerzel vun Hardware ze läschen, déi Dir net besëtzt, verletzt normalerweis den Accord iwwer akzeptabel Benotzung, an d’Managementsystem merkt et meeschtens a setzt et nees duerch, dofir brauch d’Fuerderung, datt den Eegentümer vum Apparat Ären Trafik net liese soll, en aneren Apparat an net eng aner Astellung.

Zweet Behauptung: kee gesäit wou Dir gitt

D’Destinatioun ass déi schwéier Behauptung, well zwou Verëffentlechunge geschéien ier eng Säit lued. Eng Ufro geet un de Resolver, deen de System konfiguréiert huet ze benotzen, an d’Äntwert ass siichtbar fir d’Netzwierk, dat se dréit. Duerno dréit den TLS-Handshake den ugefrote Servernumm am Kloertext, ausser Encrypted Client Hello gëtt op béide Säiten ënnerstëtzt. Keng vun den zwou Verëffentlechunge beinhalt Decryptioun, dofir huet den Tunnel keng Auswierkung op eng vun hinnen.

resolvectl status | grep -A2 "Link"
nslookup example.com

Wéi en Resolver tatsächlech benotzt gëtt, entscheet d’Expositioun, an dat kann een moossen amplaz ze diskutéieren. Op Linux dréckt resolvectl status d’DNS-Server pro Verbindung, an seng Ausgab seet Iech, ob de Resolver vum Site oder dee agedroe geäntwert huet. Windows äntwert op déiselwecht Fro mam nslookup example.com, deem säin éischte Block Ausgab den DNS-Server ass, dee geäntwert huet.

Wann de Laptop de Resolver vum Site freet ier den Tunnel opsteet, oder de Profil ouni Ersatzserver ukënnt, sou datt den ale weider benotzt gëtt, sammelt den Administrateur nach ëmmer Hostnimm ouni eppes ze decryptéieren. Encryptéierten DNS am Browser ëmgeet entweder den agedroe Resolver oder gëtt komplett gespaart an feelt zou. Den Ausgangsoperateur gesäit déiselwecht Nimm vu senger Säit. Den Resolver ze wiesselen réckelt dës Verëffentlechung dofir net vum Tunnelprovider ewech.

Drëtt Behauptung: kee weess datt Dir verbonne waart

D’drëtt Behauptung ass déi, déi en Tunnel net kann ënnerstëtzen, well d’Pakete weider duerch d’Lokalnetzwierk ginn. Dëst Netzwierk léiert d’Endpunktadress, de geschätzte Volume, den Timing an d’Existenz vun enger laanglieweger encryptéierter Sessioun, wat genuch ass fir ze spären, ze drosselen oder just ze bemierken. Eng Firewall, déi e Paket net ka liesen, kann et nach ëmmer refuséieren duerchzeloossen. Observéiert ze ginn ass net datselwecht wéi vun néiem observéiert ze ginn: Dir hutt den Observateur geréckelt, net geläscht.

Split-Tunneling, an all Applikatioun déi déi agedroe Route ignoréiert, produzéiere Flëss ausserhalb vum Tunnel, déi genee sou ausgesinn wéi virdrun. Dat sinn d’Flëss, déi en oppmiertegen Observateur als éischt bemierkt, an d’Routentabell vum Client weist, wéi eng Destinatioune ausgeschloss sinn.

Den Operateur um aneren Enn hält d’Spigelbild vun där Siicht: Ausgangsadress, Timing, Volume an normalerweis d’Nimm vun de Siten. Äre Provider gëtt déi Partei mat dem Ausbléck, wat en aneren Deal ass wéi Onsiichtbarkeet. E Provider ze wielen, deem Dir vertraut, ass eng richteg Entscheedung; d’Resultat onobservéiert ze nennen ass et net.

Entscheet wéi eng Behauptung Dir braucht

Schreift d’Fuerderung an enger Zeil op, ier Dir e Client beréiert: den Inhalt verstoppen, d’Destinatiounen verstoppen oder verstoppen ob Dir iwwerhaapt verbonne waart. Den Inhalt gëtt schonn vun HTTPS zesumme mam Tunnel behandelt, wärend d’Destinatiounen e Resolver an e Wee brauchen, déi d’Ausrüstung vum Site komplett ëmgoen.

Déi drëtt Fuerderung ass déi onangenehm, well eppes nach ëmmer siichtbar verbonnen ass iergendwou, encryptéiert oder net. Keng Client-Astellung ännert dat. Wann d’Fuerderung an d’Politik auserneegeet, gehéiert déi Kluft an e Gespréich mam Besëtzer vun der Politik, net an eng Client-Optioun. Déi Persoun, déi et beäntwerten kann, ass déi, déi d’Politik geschriwwen huet.