Ar tinklas gali užblokuoti jūsų VPN nesulaužęs šifravimo?
Šifravimas saugo turinį, o ne pristatymą. Palyginkite blokavimo sąrašus, leidžiamųjų sąrašus ir išjungimus, tada paklauskite, ką iš tikrųjų gali pagrįsti vienas stebėjimas.
Nė vienam operatoriui nereikia sesijos rakto tuneliui sustabdyti: išmeskite paketus kelyje ir jis žlunga, o kriptografija išlieka lygiai tokia stipri, kaip žadėjo jos dizainas. Šifravimas saugo tai, ką neša pokalbis, o ne bet kurio tinklo pasirengimą jį nešti. Atskyrus šias dvi savybes, ginčas dėl neužblokuojamumo virsta klausimu, kuri politika galioja ir kiek toli ji siekia. Toliau pateiktas palyginimas išlaiko prieinamumą ir konfidencialumą atskirai, nes dauguma užtikrintų teiginių apie VPN blokavimą tyliai juos sujungia.
Pasiekiamumas – tai kelio sprendimas
Kiekvienas transportas priklauso nuo kelio, kuris persiunčia paketus, ir kiekvienas politikos klausimas čia susiveda į tą persiuntimo sprendimą. Paketus metanti taisyklė keičia prieinamumą nepaliudama konfidencialumo, ir būtent taip tunelis gali būti nepriekaištingai užšifruotas ir tuo pačiu metu visiškai netinkamas naudoti. Niekas tame rezultate nereikalauja sulaužyti šifrą ar atkurti raktą. Reikia tik kelio kontrolės.
Sumišimas dažniausiai prasideda nuo to, kad dvi savybės dalijasi vienu žodžiu. Stipri kriptografija pasako, kas gali skaityti srautą; ji nieko nesako apie tai, ar tarpinis įrenginys jį praleis. Todėl teiginiui, kad VPN negalima užblokuoti, reikia antro teiginio po juo, būtent kad niekas kelyje nėra pasirengęs mesti paketų.
Įgyvendinimo stiliai ir kiekvieno kaina
Trys stiliai apima daugumą realių politikų, ir jie skiriasi tuo, ką turi žinoti, kiek kainuoja jų eksploatavimas ir kas dar nukenčia. Kiekvienas jų gali atmesti tunelį nieko neiššifruodamas. Skirtumai svarbūs, nes tas pats žodis, blokavimas, vartojamas visiems trims.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Ši lentelė yra išlaidų žemėlapis, o ne reitingas. Blokavimo sąrašas pigus pradėti ir brangus išlaikyti tikslų; leidžiamųjų sąrašas keičia atradimą į leidžiamos aibės priežiūrą, o išjungimui visai nereikia jokios klasifikacijos. Juos skiria ne techninis rafinuotumas, o tai, kur kiekvienas deda nuolatinį darbą. Politika, kuri popieriuje atrodo paprasta, dažniausiai kažkur turi paslėptą priežiūros eilutę.
Blokavimo sąrašą riboja tai, kaip gerai adresas įvardija paslaugą
Blokavimo sąrašas atmeta jau identifikuotus tikslus, o likusius palieka paprastai prieinamus. Jam vykdyti reikia adresų ir prievadų, o ne atviro teksto, ir tai daro jį pigų eksploatuoti iš pradžių. Kaina ateina vėliau, nes diapazonas, kuris kadaise žymėjo vieną tiekėją, vėliau gali talpinti tuziną nesusijusių nuomininkų. Kiekvienas adreso pakeitimas verčia redaguoti sąrašą, o kiekvienas pasenęs įrašas pasiima nekaltą srautą.
Tikslumas šiame modelyje ribojamas tuo, kaip gerai tikslas identifikuoja paslaugą, o užimtas bendras galinis taškas yra prastas identifikatorius. Tai struktūrinė riba, o ne įgyvendinimo trūkumas, todėl geresni įrankiai jos nepašalina. Tai taip pat paaiškina, kodėl blokavimo sąrašai linkę augti: kiekvienas naujas galinis taškas atrodo kaip mažas papildymas, o šalutinė žala auga kartu su sąrašu.
Leidžiamųjų sąrašas perkelia priežiūros naštą
Leidžiamųjų sąrašas apverčia numatytąją nuostatą, kad praeitų tik iš anksto pasirinkti tikslai ar srauto tipai. Jam nereikia išvardyti kiekvieno uždrausto galinio taško, kas padeda, kai uždrausta aibė didelė arba greitai kinta. Vietoj to jam reikia prižiūrimo apibrėžimo, kas leidžiama, ir vykdymo, atitinkančio tą apibrėžimą.
Prievadų numeriai yra įprasta silpnoji vieta tokiame apibrėžime. Leisti prievadą nelygu identifikuoti kiekvieną programą, kuri gali jį naudoti, todėl prievadais pagrįstas leidžiamųjų sąrašas dažnai praleidžia daugiau, nei jo autorius ketino. Protokolų antspaudai turi tą pačią problemą kitu kampu, nes jie identifikuoja srauto formą, o ne ketinimą. Todėl leidžiamųjų sąrašas nėra automatiškai tikslesnis už blokavimo sąrašą; jis tikslus kito dalyko atžvilgiu.
Ką vienas stebėjimas gali pagrįsti, o ko ne
Bet koks teiginys apie blokavimą turėtų būti skaitomas laikant keturis klausimus: kokie prieigos tinklai, kokie tikslai, kokie protokolai ir koks stebėjimo laikotarpis. Šiandien viename mobiliajame tinkle matytas gedimas nieko nesako apie tą patį galinį tašką rytoj iš kito tinklo. Kartą veikęs tunelis taip pat nieko nesako apie ilgalaikį prieinamumą.
Gedimo formą galima stebėti prieš teoretizuojant apie jo priežastį. Tylus pakibimas, tuoj pat gaunamas atmetimas ir atstatymas po prisijungimo rodo skirtingus įgyvendinimo stilius, ir dvi komandos juos atskiria:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comPakibimas, pasibaigiantis laiko limitu, rodo tylų išmetimą, greitas atmetimas – kelyje atmetantį įrenginį, o atstatymas po prisijungimo – būsenos turinčią intervenciją, o ne trūkstamą maršrutą. RFC 9505 cenzūros metodų apžvalga aprašo kontrolės taškus ir intervencijos šablonus, slypinčius už tų formų. Tačiau nė vienas jų nesako, kaip plačiai politika taikoma. Ilgaamžiškumas yra stipresnis teiginys nei pasiekiamumas: galiniai taškai, programinė įranga, politikos ir leidžiamos paslaugos visi kinta, todėl neribota efektyvumas reikalauja prielaidų apie vykdymo tęsimą, o ne adresų, matytų vieną akimirką, sąrašo.