Wat eng Betribsfirewall an enger VPN kann a kann net gesinn

Datselwecht Laptop erreecht d’VPN vu Doheem an kann aus dem Büro net verbannen, also muss een den Trafik liesen. Blockéieren a Liese sinn getrennte Pouvoiren, an nëmmen déi zweet brauch eng Plaz um Wee plus en Zertifikat, deem de Client vertraut. Eng Mëttelkëscht, déi Ären Handshake ewechgeheit, huet näischt doriwwer geléiert, wat Dir geschéckt hätt. Ze decidéieren, mat weem vun deenen zwee Dir ze dinn hutt, ass déi ganz Aarbecht.

Blockéieren a Liese sinn verschidde Pouvoiren

Eng Oflehnung ass bëlleg a lued: de Socket geet op an näischt äntwert, oder et kënnt direkt en Reset. Näischt dovun heescht Inspektioun, well keng Notzlaascht iwwer de Kabel gaangen ass.

Liese brauch en Endpunkt, deen de Schutz ophält, sech mat engem Zertifikat bewisen a weider eng nei Verbindung opmécht. Dee Punkt muss um Wee stoen a vum Client vertraut ginn. Eng Firewall, déi just Pakete weiderleet, huet weder Positioun nach Zertifikat.

Wat d’Ëmhüllung gratis verréit

All Tunnelpaket huet eng Baussen, an d’Bausse muss routbar sinn. Dat heescht zwou Adressen, e Protokoll, e Port an eng Längt, plus Zäit a Volumen. All Router hanteiert déi Felder schonn, an en NAT schreift d’Adress an de Port ëm, fir seng Kartéierungstabell konsequent ze halen. D’Notzlaascht bleift versigelt, also hält d’Observatioun bei der Tatsaach op, datt et en Tunnel tëscht zwee Hosts gëtt.

En Hostnumm ass net dorënner. Siten lecken duerch aner Dieren, an déi breetst ass DNS: wann d’Laptop nach de lokale Resolver freet, erschéngen d’Nimm am Kloergen.

Zäit a Volumen verdéngen Respekt, ouni iwwerdriwwen ze ginn. Bytes pro Minutt kënnen weisen, datt eng grouss Iwwerdroung um 14:20 ufänkt; si kënnen net weisen, wéi eng Datei sech beweegt huet. Dat ass eng richteg Offenbarung iwwer Verhalen, an eng aner Kategorie wéi Inhalter liesen.

TLS-Interzeptioun brauch eng Wuerzel, där Dir schonn vertraut

En Inspektiounsapparat brécht TLS net; en hält et op. Dem Client äntwert en Zertifikat vun enger Wuerzel, déi d’Organisatioun besëtzt, an eng zweet Verbindung geet op déi richteg Destinatioun. De Client akzeptéiert dat, well déi Wuerzel a sengem Vertrauensspäicher läit, dofir weist e geréierten Laptop keng Warnung. Kryptographie gouf ni besiegt; den Endpunkt gouf verréckelt.

Dofir hannerléisst d’Arrangement Beweiser. Den Aussteller op der presentéierter Kette gehéiert der Organisatioun an net enger ëffentlecher CA, an e Client kann dat ouni speziell Geschier gesinn. Eng Kette, déi an enger interner Wuerzel ophält, ass d’Signatur vun der Interzeptioun, net e Feeler.

Firwat en VPN-Kanal keng HTTPS-Sessioun ass

En VPN-Datekanal gëtt engem Inspekter sou Halt net. IKEv2 a WireGuard lafen hir eege Handshakes a Schlësselpläng, ouni TLS fir opzehalen, wärend OpenVPN TLS fir säi Kontrollkanal an enger geännerter Form léint, ier et d’Date op seng Manéier schützt. En Proxy, deen fir HTTPS gebaut ass, erkennt déi Sessioun net als eppes, wat en analyséiere kann.

En Apparat, deen eng Sessioun net analyséiere kann, kann se nach ëmmer ewechgeheien. Dofir gesäit VPN-Blockéierung meeschtens aus wéi en Timeout an net wéi eng Zertifikatswarnung, an dofir ännert eng Ausnam näischt.

Préift et vun Ärem eegene Rechner

Fänkt mat der Kette un, déi d’Säit presentéiert. D’Säitdetailer am Browser weisen den Aussteller, an d’Kommandozeil mellt dasselwecht ouni d’Zesummefaassung:

openssl s_client -connect example.com:443 -servername example.com

Trennt duerno en ofgeleenten Handshake mat Comptoire vum gefilterte bannenzegen Trafik. Logt de Transportport virun all Drop-Reegel a liest se no dem Versuch:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Keng Logzeil um äussere Socket heescht, datt den Handshake ni erausgaangen ass, also lehnt de Wee den Tunnel of. En ofgeschlossenen Handshake, bei deem just e puer Destinatiounen versoen, heescht, datt den Tunnel funktionéiert an d’Politik dobannen net. Keng vun den zwou Resultater huet missen e Byte Notzlaascht liesen.

D’Liesen, dat wierklech geschitt, sëtzt un de Ränner: en getrennten Tunnel iwwergëtt intern HTTPS un e Betribsproxy, an e Konzentrator am Besëtz vum Patron leet um Ausgang alles oppen. Wat Dir och fannt, schalt d’Zertifikatsprüfung net aus, fir eng Verbindung ze forcéieren, well déi Prüfung ass dat eenzegt, wat Inspektioun vun engem Ugräifer trennt.