Onion pakalpojums pret VPN pakalpojumu: atšķirīgi piekļuves modeļi

Cilvēki Onion pakalpojumu un pakalpojumu, kas pieejams tikai caur VPN, apraksta kā divus vienas idejas variantus: paslēp portu, dalies ar slepeno adresi. Tie atšķiras ar to, kam adrese ir piesaistīta, kas to var sasniegt un kam jānotiek pirms pieprasījuma pienākšanas. Viens ir satikšanās vieta Tor iekšienē, otrs ir maršruts privātā tīklā. Uzskatīt tos par savstarpēji aizvietojamiem rada risinājumus, kas nav ne privāti, ne uzturami.

Mīts: abi risinājumi ir tikai apslēptas durvis

Kopīgā īpašība ir reāla, bet plāna: neviens risinājums nenovieto administratīvo saskarni tieši sasniedzamā publiskā portā. Viss pārējais atšķiras. Onion adrese tiek atvasināta no paša pakalpojuma atslēgas, tāpēc vārds ir piesaistīts identitātei; VPN adrese ir tikai adrese tīklā, kurā jūs uzņēma. Viens slēpj pakalpojumu pārklājuma slānī, otrs uzņem jūs privātā topoloģijā. Uzskatīt otro par pirmā sinonīmu ir apjukumā sākums.

Neviena no īpašībām nav drošības kontrole pašai lietotnei. Apslēpta vieta nelabo aiz tās esošo programmatūru, un privāts maršruts nepievieno autentifikāciju pieteikšanās lapai. Abiem risinājumiem joprojām vajadzīgas pašas lietotnes atļaujas, un abiem joprojām vajadzīgs kāds, kas atbild par atjauninājumiem un atjaunošanu.

Uz ko Onion adrese patiešām norāda

Onion adrese v3 versijā kodē pakalpojuma publisko atslēgu, tāpēc neviens nevar izvēlēties adresi pakalpojumam, ko nekontrolē. Klients caur Tor pieslēdzas satikšanās vietai, un pakalpojums sasniedz to pašu punktu no savas puses; neviens parasts izejas mezgls nenes šo savienojumu līdz pakalpojumam. Vārds ir identitāte, nevis DNS ieraksts.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Tāpēc maršruta vai hosts ieraksta pievienošana onion vārdam neko nedod. Meklēšana nav mehānisms; mehānisms ir Tor klients un tā ķēdes. Ja pakalpojums paredzēts nelielai cilvēku grupai, onion klienta autorizācija var pieprasīt atslēgu pirms savienojuma pieņemšanas, bet tā joprojām nav pieteikšanās lietotnē. Adreses publicēšana arī ir apzināta darbība, jo ikviens, kas to uzzina, var mēģināt savienoties, ja vien jūs to neesat ierobežojis.

Apstājieties, ja vienīgais onion risinājuma iemesls ir izvairīties no autentifikācijas iestatīšanas. Pārklājums to nenodrošina, un jūs to tik un tā būvēsiet vēlāk.

Ko VPN maršruts patiešām piešķir

VPN uzņem ierīci tīklā un piešķir tai maršrutu līdz vārtejai vai apakštīklam. Pakalpojums aiz šīs vārtejas redz adresi no tuneļa baseina un piemēro savu autorizāciju. Maršruts neko nepasaka par to, kas ir lietotājs; tas pasaka, kur pakešu drīkst doties.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Šis modelis der zināmai grupai ar pārvaldītām ierīcēm, jo vārteja var uzspiest ierīces stāvokli un tīklu var auditēt. Tas slikti der anonīmiem vai gadījuma apmeklētājiem, kuri vispirms būtu jāreģistrē. Pašas lietotnes pieteikšanās joprojām nosaka, ko pieslēgušais lietotājs drīkst lasīt. Sasniedzamības jaukšana ar atļauju ir ceļš, kā VPN galu galā piešķir visu apakštīklu ikvienam, kas var pieslēgties.

Apstājieties, ja auditorija nav zināma vai pastāvīgi mainās. Nepazīstamu cilvēku reģistrēšana privātā tīklā, lai parādītu vienu lapu, ir liels iesaistīšanās solis salīdzinājumā ar pakalpojuma publicēšanu.

Izvēle starp tiem, un kas paliek nemainīgs

Izvēlieties onion modeli, ja auditorija ir tehniska, pakalpojumam vispār nedrīkst būt publiskas adreses un jūs varat pieņemt Tor klienta prasības. Izvēlieties VPN modeli, ja auditorija ir noteikta grupa, kuras ierīces jūs pārvaldāt un kuras piekļuvi vēlaties reģistrēt tīkla līmenī. Neviens variants neizslēdz vajadzību pēc lietotnes autentifikācijas, ielāpiem vai atkopšanas ceļa. Neviens nav automātiski privātāks tādā nozīmē, kas svarīga jūsu lietotājiem.

Abos risinājumos pierakstiet, kas var sasniegt pakalpojumu, kā viņi tiek identificēti un kas notiek, kad tiek pazaudēts akreditācijas datu kopums. Onion pakalpojuma atbilde ietver tā klienta autorizācijas atslēgas un pašu adresi; VPN atbilde ietver kontu, ierīci un vārtejas politiku. Tie ir dažādi saraksti, un tikai viens no tiem būs acīmredzams nākamajam administratoram.

Salīdzinājums beidzas tur, kur sākas lietotne. Apslēpta adrese un privāts maršruts ir transporta izvēles, un lietotnei joprojām jāizlemj, ko pieprasījumam atļauts darīt. Glabājiet šos lēmumus atsevišķos dokumentos, un neviens risinājums klusi nepārņems otra darbu.