Vai tīkls var bloķēt jūsu VPN, nesalaužot šifrēšanu?
Šifrēšana aizsargā saturu, nevis piegādi. Salīdziniet bloķēšanas sarakstus, atļauto sarakstus un atslēgšanas, pēc tam jautājiet, ko viens novērojums patiešām var pamatot.
Nevienam operatoram nav vajadzīga sesijas atslēga, lai apturētu tuneli: izmetiet paketes ceļā, un tas neizdodas, kamēr kriptogrāfija paliek tieši tik spēcīga, cik solīja tās dizains. Šifrēšana aizsargā to, ko saruna nes, nevis kāda tīkla gatavību to nest. Šo divu īpašību atdalīšana pārvērš strīdu par nebloķējamību jautājumā par to, kura politika ir spēkā un cik tālu tā sniedzas. Zemāk esošais salīdzinājums tur pieejamību un konfidencialitāti atsevišķi, jo lielākā daļa pārliecināto apgalvojumu par VPN bloķēšanu klusi tos sapludina.
Sasniedzamība ir ceļa pieņemts lēmums
Ikviens transports ir atkarīgs no ceļa, kas pārsūta paketes, un ikviens politikas jautājums šeit reducējas uz šo pārsūtīšanas lēmumu. Noteikums, kas izmet paketes, maina pieejamību, neaizskarot konfidencialitāti, un tieši tā tunelis var būt nevainojami šifrēts un tajā pašā mirklī pilnīgi neizmantojams. Nekas šajā iznākumā neprasa lauzt šifru vai atgūt atslēgu. Tas prasa tikai kontroli pār ceļu.
Apjukums parasti sākas ar to, ka divas īpašības dala vienu vārdu. Spēcīga kriptogrāfija stāsta, kas var lasīt plūsmu; tā neko nesaka par to, vai starpierīce to laidīs cauri. Tāpēc apgalvojumam, ka VPN nevar bloķēt, vajadzīgs otrs apgalvojums zem tā, proti, ka neviens ceļā nav gatavs izmest paketes.
Īstenošanas stili un katra cena
Trīs stili aptver lielāko daļu reālo politiku, un tie atšķiras ar to, kas viņiem jāzina, cik maksā to darbība un kas vēl cieš. Katrs no tiem var atteikt tuneli, neko neatšifrējot. Atšķirības ir svarīgas, jo tas pats vārds, bloķēšana, tiek lietots visiem trim.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Šī tabula ir izmaksu karte, nevis reitings. Bloķēšanas saraksts ir lēts sākumā un dārgs precīzi uzturēt; atļauto saraksts apmaiņā pret atklāšanu prasa atļautās kopas uzturēšanu, un atslēgšanai vispār nav vajadzīga klasifikācija. Tos šķir nevis tehniskā izsmalcinātība, bet gan tas, kur katrs liek pastāvīgo piepūli. Politika, kas uz papīra izskatās vienkārša, parasti kaut kur citur slēpj uzturēšanas rindu.
Bloķēšanas sarakstu ierobežo tas, cik labi adrese nosauc pakalpojumu
Bloķēšanas saraksts atsaka jau identificētus galamērķus un pārējos parasti atstāj pieejamus. Lai to piemērotu, vajag adreses un portus, nevis atklātu tekstu, un tas padara to sākumā lētu. Izmaksas nāk vēlāk, jo diapazons, kas kādreiz apzīmēja vienu pakalpojumu sniedzēju, vēlāk var mitināt duci nesaistītu nomnieku. Katra adreses maiņa piespiež labot sarakstu, un katrs novecojis ieraksts paņem līdzi nevainīgu datplūsmu.
Precizitāti šajā modelī ierobežo tas, cik labi galamērķis identificē pakalpojumu, un noslogots koplietots galapunkts ir slikts identificētājs. Tas ir strukturāls ierobežojums, nevis ieviešanas defekts, tāpēc labāki rīki to ne novērš. Tas arī izskaidro, kāpēc bloķēšanas saraksti mēdz augt: katrs jauns galapunkts šķiet mazs papildinājums, un blakuspostījumi aug kopā ar sarakstu.
Atļauto saraksts pārvieto uzturēšanas slogu
Atļauto saraksts apgriež noklusējumu, lai varētu iziet tikai iepriekš izvēlēti galamērķi vai datplūsmas veidi. Tam nav jāuzskaita katrs aizliegtais galapunkts, kas palīdz, ja aizliegtā kopa ir liela vai ātri mainās. Tā vietā tam vajadzīga uzturēta atļautā definīcija un šai definīcijai atbilstoša piemērošana.
Portu numuri ir ierastā vājā vieta šādā definīcijā. Porta atļaušana nav tas pats, kas katras programmas identificēšana, kas to var izmantot, tāpēc uz portiem balstīts atļauto saraksts bieži ielaiž vairāk, nekā tā autors paredzēja. Protokolu nospiedumiem ir tā pati problēma no cita leņķa, jo tie identificē datplūsmas formu, nevis nodomu. Tāpēc atļauto saraksts nav automātiski precīzāks par bloķēšanas sarakstu; tas ir precīzs attiecībā uz kaut ko citu.
Ko viens novērojums var pamatot un ko ne
Jebkurš apgalvojums par bloķēšanu jālasa ar četriem jautājumiem rokās: kuri piekļuves tīkli, kuri galamērķi, kuri protokoli un kurš novērošanas periods. Šodien vienā mobilajā tīklā redzēta kļūme neko nepasaka par to pašu galapunktu rīt no cita tīkla. Arī tunelis, kas reiz darbojās, neko nepasaka par ilgstošu pieejamību.
Kļūmes formu var novērot pirms teorēt par tās cēloni. Klusa iekāršanās, tūlītējs atteikums un atiestatīšana pēc savienojuma norāda uz dažādiem piemērošanas stiliem, un divas komandas tos atšķir:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comIekāršanās, kas beidzas ar taimautu, liecina par klusu izmešanu, ātrs atteikums – par atsakādu ierīci ceļā, un atiestatīšana pēc savienojuma – par stāvokļa iejaukšanos, nevis trūkstošu maršrutu. RFC 9505 cenzūras metožu apskats apraksta kontroles punktus un iejaukšanās modeļus aiz šīm formām. Taču neviens no tiem nepasaka, cik plaši politika attiecas. Ilglaicība ir spēcīgāks apgalvojums par sasniedzamību: galapunkti, programmatūra, politikas un atļautie pakalpojumi visi mainās, tāpēc neierobežota efektivitāte prasa pieņēmumus par piemērošanas turpināšanu, nevis vienā mirklī redzētu adrešu sarakstu.