Onion paslauga prieš VPN paslaugą: skirtingi prieigos modeliai

Žmonės Onion paslaugą ir tik per VPN pasiekiamą paslaugą apibūdina kaip dvi tos pačios idėjos atmainas: paslėpk portą, pasidalink slaptu adresu. Jos skiriasi tuo, prie ko susietas adresas, kas gali jį pasiekti ir kas turi įvykti prieš atvykstant užklausai. Viena yra susitikimo vieta Tor viduje, kita – maršrutas privačiame tinkle. Vertinant jas kaip keičiamas sukuriami sprendimai, kurie nėra nei privatūs, nei prižiūrimi.

Mitas: abu sprendimai tėra paslėptos durys

Bendra savybė tikra, bet plona: nė vienas sprendimas nededė administracinės sąsajos tiesiogiai pasiekiamame viešame porte. Visa kita išsiskiria. Onion adresas išvedamas iš pačios paslaugos rakto, todėl vardas susietas su tapatybe; VPN adresas tėra adresas tinkle, į kurį buvote priimti. Vienas slepia paslaugą perdangos sluoksnyje, kitas priima jus į privačią topologiją. Antrojo laikymas pirmojo sinonimu yra painiavos pradžia.

Nė viena savybė nėra saugumo kontrolė pačiai programai. Paslėpta vieta netaiso už jos esančios programinės įrangos, o privatus maršrutas neprideda autentifikavimo prie prisijungimo puslapio. Abu sprendimai vis dar reikalauja pačios programos leidimų, ir abiem vis dar reikia atsakingo už atnaujinimus ir atkūrimą žmogaus.

Į ką Onion adresas iš tikrųjų nurodo

Onion adresas v3 versijoje užkoduoja paslaugos viešąjį raktą, todėl niekas negali pasirinkti adreso paslaugai, kurios nekontroliuoja. Klientas per Tor prisijungia prie susitikimo vietos, o paslauga iš savo pusės pasiekia tą patį tašką; joks įprastas išėjimo mazgas neneša šio ryšio iki paslaugos. Vardas yra tapatybė, o ne DNS įrašas.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Todėl pridėti maršrutą ar hosts įrašą onion vardui nieko neduoda. Paieška nėra mechanizmas; mechanizmas yra Tor klientas ir jo grandinės. Jei paslauga skirta nedidelei žmonių grupei, onion kliento autorizacija gali reikalauti rakto prieš priimant ryšį, bet tai vis dar ne programos prisijungimas. Adreso paskelbimas taip pat sąmoningas veiksmas, nes kas jį sužino, gali bandyti jungtis, jei to neapribojote.

Sustokite, jei vienintelė onion sprendimo priežastis yra išvengti autentifikavimo nustatymo. Perdanga to nesuteikia, ir jūs vis tiek tai sukursite vėliau.

Ką VPN maršrutas iš tikrųjų suteikia

VPN priima įrenginį į tinklą ir suteikia jam maršrutą iki tinklų sietuvos ar potinklio. Paslauga už tos sietuvos mato adresą iš tunelio telkinio ir taiko turimą autorizaciją. Maršrutas nieko nesako apie tai, kas yra naudotojas; jis sako, kur paketai gali keliauti.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Tas modelis tinka žinomai grupei su valdomais įrenginiais, nes sietuva gali primesti įrenginio būseną, o tinklą galima audituoti. Jis netinka anonimiškiems ar atsitiktiniams lankytojams, kuriuos pirmiausia reikėtų užregistruoti. Pačios programos prisijungimas vis dar sprendžia, ką prijungtas naudotojas gali skaityti. Pasiekiamumo painiojimas su leidimu yra kelias, kuriuo VPN galiausiai suteikia visą potinklį visiems, kurie gali prisijungti.

Sustokite, jei auditorija nežinoma arba nuolat kinta. Registruoti nepažįstamus žmones į privatų tinklą norint parodyti vieną puslapį yra didelis įsipareigojimas, palyginti su paslaugos paskelbimu.

Pasirinkimas tarp jų ir kas lieka taip pat

Rinkitės onion modelį, kai auditorija techninė, paslauga neturi turėti jokio viešo adreso ir galite priimti Tor kliento reikalavimus. Rinkitės VPN modelį, kai auditorija yra apibrėžta grupė, kurios įrenginius valdote ir kurios prieigą norite registruoti tinklo lygmenyje. Nė vienas pasirinkimas nepanaikina programos autentifikavimo, pataisų ar atkūrimo kelio poreikio. Nė vienas nėra automatiškai privatesnis ta prasme, kuri svarbi jūsų naudotojams.

Abiejuose sprendimuose užrašykite, kas gali pasiekti paslaugą, kaip jie identifikuojami ir kas nutinka praradus prisijungimo duomenis. Onion paslaugos atsakymas apima jos kliento autorizacijos raktus ir patį adresą; VPN atsakymas apima paskyrą, įrenginį ir sietuvos politiką. Tai skirtingi sąrašai, ir tik vienas jų bus akivaizdus kitam administratoriui.

Palyginimas baigiasi ten, kur prasideda programa. Paslėptas adresas ir privatus maršrutas yra transporto pasirinkimai, o programa vis dar turi nuspręsti, ką užklausai leidžiama daryti. Laikykite tuos sprendimus atskiruose dokumentuose, ir nė vienas sprendimas tyliai neperims kito darbo.