VPN izejas IP nav tuneļa pierādījums: ko redz serveri

Kāds lūdz pakalpojumu, kuram var piekļūt tikai VPN lietotāji, un acīmredzamā ieviešana ir atļaut izejas adrešu sarakstu. Saraksts dara kaut ko reālu: tas ierobežo, kas var pieslēgties. Tas nepierāda, ka tika izmantots tunelis, jo adrese pieder tam, kurš pārvalda izeju, un šis operators var pārsūtīt jebkura datplūsmu. Atšķirība starp šiem apgalvojumiem ir visa dizaina problēma.

Serveris redz vienu adresi uz savienojumu

Savienojums nāk ar avota adresi un galamērķa portu, un tas ir viss, ko ziņo tīkla slānis. Kad klients izmanto tuneli, paketes, kas sasniedz jūsu klausītāju, nāk no izejas vai no tulkojuma tās priekšā. Paša klienta adrese, parasti privāta, nekad neparādās. Tāpēc ugunsmūra noteikums, kas rakstīts klienta lokālā tīkla diapazonam, nedara neko.

Viss pēc šīs avota adreses ir lietojumprogrammas dati, un lietojumprogramma tiem var uzticēties tikai tik, cik tos autentificē.

Pārbaudiet, kā izskatās jūsu izeja

Apskatiet ceļu no abiem galiem pirms noteikuma rakstīšanas. Klienta skatījums uz savu izeju un servera skatījums uz savienojumu ir tie divi fakti, kuriem ir nozīme.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Pirmā komanda ziņo publisko adresi, ar kuru parādās klients, un tas ir vērtība, kas jāsatur jebkurā atļauto sarakstā. Otrā parāda serverī izveidotos savienojumus ar to partneru adresēm, un tieši ar to noteikums faktiski saskanēs. Ja abi nesaskan ar jūsu garīgo modeli, izlabojiet modeli pirms politikas rediģēšanas. Mākoņdatubāzes ugunsmūris, lietojumprogrammas atļauto saraksts un slodzes balansētājs katrs var redzēt citu tulkošanas slāni.

Var uzskaitīt tikai vienu no divām izejas kopām

Viens gadījums ir pārbaudāms pieprasījuma brīdī, bet otrs nav, kas dod ļoti atšķirīgas garantijas.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Publicēto Tor izeju sarakstu var iegūt un salīdzināt, ņemot vērā saraksta vecumu un katras izejas politiku, tāpēc atteikuma noteikums pret zināmām izejām ir izpildāms un pārskatāms. Komerciāliem VPN nav līdzvērtīga reģistra. Adreses rotē, daudzi pakalpojumu sniedzēji neko nepublicē, un tunelis var darboties uz īrētas mākoņa adreses, kas nekad nav piederējusi VPN. Jūsu sastādītais saraksts ir novēroto adrešu momentuzņēmums, un tā paplašināšana uz mitināšanas diapazoniem pievieno nesaistītas darba slodzes, nepievienojot pierādījumus.

Izmantojiet adreses kā politikas ievadi, nevis kā pierādījumu

Izlemiet, kam noteikums ir domāts. Tīkla ierobežojumam jāpaliek šauram, jāreģistrē novērotā adrese ar datumu un iemeslu, un jādod likumīgiem lietotājiem atkopšanas ceļš, kad viņu izeja mainās. Piekļuves kontrolei nepieciešams autentificēts konts vai parakstīts tokens, jo tikai tie saista pieprasījumu ar identitāti. Riska novērtējums var izmantot adresi kā vienu neuzticamu signālu, pieņemot tā viltus pozitīvos un aklos punktus. Rakstīt noteikumu kā produkta lēmumu ir godīgi; rakstīt to kā pārbaudi, ka tunelis pastāv, nav.

Spoguļpieprasījums, lietotāja īstās adreses atgūšana aiz VPN, neizdodas tā paša iemesla dēļ: viens savienojums nes vienu adresi, un izmaiņa starp sesijām saskan ar vairākiem skaidrojumiem. Uztveriet iepriekšējo vērtību kā vēsturi, nevis kā patiesību.