VPN išėjimo IP nėra tunelio įrodymas: ką mato serveriai

Kažkas prašo paslaugos, kurią pasiekti gali tik VPN naudotojai, ir akivaizdus sprendimas yra leisti išėjimo adresų sąrašą. Sąrašas daro kažką realaus: jis apriboja, kas gali prisijungti. Jis neįrodo, kad buvo naudotas tunelis, nes adresas priklauso tam, kas valdo išėjimą, ir tas operatorius gali persiųsti bet kieno srautą. Skirtumas tarp šių teiginių yra visa dizaino problema.

Serveris mato vieną adresą vienam ryšiui

Ryšys ateina su šaltinio adresu ir paskirties prievadu, ir tai viskas, ką praneša tinklo sluoksnis. Kai klientas naudoja tunelį, paketai, pasiekiantys jūsų klausytoją, ateina iš išėjimo arba iš jo priekyje esančio vertimo. Paties kliento adresas, paprastai privatus, niekada nepasirodo. Todėl ugniasienės taisyklė, parašyta kliento vietinio tinklo diapazonui, nedaro nieko.

Viskas po to šaltinio adreso yra programos duomenys, ir programa jais gali pasitikėti tik tiek, kiek juos autentifikuoja.

Išbandykite, kaip atrodo jūsų išėjimas

Pažiūrėkite į kelią iš abiejų galų prieš rašydami taisyklę. Kliento požiūris į savo išėjimą ir serverio požiūris į ryšį yra du faktai, kurie svarbūs.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Pirmoji komanda praneša viešą adresą, kuriuo rodomas klientas, ir tai yra reikšmė, kurią turi turėti kiekvienas leidžiamų sąrašas. Antroji rodo serverio užmegztus ryšius su jų partnerių adresais, ir būtent su tuo taisyklė tikrai sutaps. Jei abu nesutampa su jūsų mentaciniu modeliu, pataisykite modelį prieš redaguodami politiką. Debesų duomenų bazės ugniasienė, programos leidžiamų sąrašas ir apkrovos balansuotojas gali matyti skirtingą vertimo sluoksnį.

Galima išvardyti tik vieną iš dviejų išėjimų rinkinių

Vienas atvejis patikrinamas užklausos momentu, o kitas ne, todėl garantijos labai skiriasi.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Paskelbtą Tor išėjimų sąrašą galima gauti ir palyginti, atsižvelgiant į sąrašo amžių ir kiekvieno išėjimo politiką, todėl atmetimo taisyklė žinomiems išėjimams yra vykdoma ir peržiūrima. Komerciniams VPN nėra lygiaverčio registro. Adresai keičiasi, daug tiekėjų nieko neskelbia, o tunelis gali veikti nuomojamu debesų adresu, kuris niekada nepriklausė VPN. Jūsų sudarytas sąrašas yra pastebėtų adresų momentinė nuotrauka, o jo išplėtimas į prieglobos diapazonus prideda nesusijusių darbo krūvių, nepridedant įrodymų.

Naudokite adresus kaip politikos įvestį, o ne kaip įrodymą

Nuspręskite, kam skirta taisyklė. Tinklo apribojimas turėtų likti siauras, užfiksuoti pastebėtą adresą su data ir priežastimi, ir suteikti teisėtiems naudotojams atkūrimo kelią, kai jų išėjimas pasikeičia. Prieigos kontrolei reikia autentifikuotos paskyros arba pasirašyto žetono, nes tik jie susieja užklausą su tapatybe. Rizikos vertinimas gali naudoti adresą kaip vieną nepatikimą signalą, priimdamas jo klaidingus teigiamus ir aklasias dėmes. Rašyti taisyklę kaip produkto sprendimą yra sąžininga; rašyti ją kaip patikrinimą, kad tunelis egzistuoja, ne.

Veidrodinė užklausa, tikrojo naudotojo adreso atkūrimas už VPN, nepavyksta dėl tos pačios priežasties: vienas ryšys neša vieną adresą, o pokytis tarp sesijų dera su keliais paaiškinimais. Vertinkite ankstesnę reikšmę kaip istoriją, o ne kaip tiesą.