Ko uzņēmuma ugunsmūris var un ko nevar redzēt VPN iekšienē

Tas pats portatīvais dators no mājām sasniedz VPN, bet no biroja nevar pieslēgties, tātad kāds lasa datplūsmu. Bloķēšana un lasīšana ir atsevišķas pilnvaras, un tikai otrai vajag vietu ceļā plus sertifikātu, kuram klients uzticas. Starpbūve, kas nomet jūsu roku paspiešanu, nav uzzinājusi neko par to, ko jūs būtu sūtījis. Izlemt, ar kuru no abiem jums ir darīšana, ir viss darbs.

Bloķēšana un lasīšana ir dažādas pilnvaras

Atteikums ir lēts un skaļš: ligzda atveras un nekas neatbild, vai uzreiz pienāk atiestatīšana. Nekas no tā nenozīmē pārbaudi, jo neviens kravnesums nav šķērsojis vadu.

Lasīšanai vajag galapunktu, kas izbeidz aizsardzību, pierāda sevi ar sertifikātu un sāk jaunu savienojumu tālāk. Tam punktam jāatrodas ceļā, un klientam tas jāuzticas. Ugunsmūrim, kas tikai pārsūta paketes, nav ne pozīcijas, ne pilnvarojuma.

Ko apvalks atdod par brīvu

Katram tuneļa paketam ir ārpuse, un ārpusei jābūt maršrutējamai. Tas nozīmē divas adreses, protokolu, portu un garumu, kā arī laiku un apjomu. Jebkurš maršrutētājs jau apstrādā šos laukus, un NAT pārraksta adresi un portu, lai tā kartēšanas tabula paliktu konsekventa. Kravnesums paliek aizzīmogots, tāpēc novērojums apstājas pie fakta, ka starp diviem resursdatoriem ir tunelis.

Resursdatora nosaukums tajos nav. Vietnes noplūst pa citām durvīm, un platākā ir DNS: ja portatīvais joprojām jautā vietējam risinātājam, nosaukumi parādās atklāti.

Laiks un apjoms pelnījuši cieņu bez pārspīlējuma. Baiti minūtē var parādīt, ka liela pārsūtīšana sākas 14:20; tie nevar parādīt, kura datne pārvietojās. Tas ir īsts atklājums par uzvedību un cita kategorija nekā satura lasīšana.

TLS pārtveršanai vajag sakni, kurai jau uzticaties

Pārbaudes ierīce nelauž TLS; tā to izbeidz. Klientam atbild sertifikāts no saknes, kas pieder organizācijai, un otrs savienojums dodas uz īsto galamērķi. Klients to pieņem, jo šī sakne atrodas viņa uzticības krātuvē, tāpēc pārvaldīts portatīvais nerāda brīdinājumu. Kriptogrāfija nekad netika uzvarēta; galapunkts tika pārvietots.

Tāpēc šī kārtība atstāj pierādījumus. Uzrādītās ķēdes izdevējs pieder organizācijai, nevis publiskai CA, un klients to var redzēt bez īpašiem rīkiem. Ķēde, kas beidzas iekšējā saknē, ir pārtveršanas paraksts, nevis kļūme.

Kāpēc VPN kanāls nav HTTPS sesija

VPN datu kanāls inspektoram nedod tādu atspērienu. IKEv2 un WireGuard veic savas roku paspiešanas un atslēgu grafikus, bez TLS, ko izbeigt, kamēr OpenVPN aizņemas TLS savam vadības kanālam pārveidotā formā, pirms aizsargā datus savā veidā. Starpniekserveris, kas būvēts HTTPS, to sesiju neatpazīst kā kaut ko, ko tas varētu parsēt.

Ierīce, kas nevar parsēt sesiju, tomēr var to nomest. Tāpēc VPN bloķēšana parasti izskatās kā taimauts, nevis sertifikāta brīdinājums, un tāpēc izņēmums neko nemaina.

Pārbaudiet no savas mašīnas

Sāciet ar ķēdi, ko uzrāda vietne. Pārlūka vietnes informācija rāda izdevēju, un komandrinda ziņo to pašu bez kopsavilkuma:

openssl s_client -connect example.com:443 -servername example.com

Pēc tam ar skaitītājiem atdaliet noraidīto roku paspiešanu no filtrētās iekšējās datplūsmas. Reģistrējiet transporta portu pirms jebkura nomešanas noteikuma un izlasiet tos pēc mēģinājuma:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ja ārējā ligzdā nav nevienas žurnāla rindas, roku paspiešana nekad nav izgājusi, tātad ceļš atsakās no tuneļa. Pabeigta roku paspiešana, kur neizdodas tikai daži galamērķi, nozīmē, ka tunelis strādā, bet iekšējā politika ne. Neviens no rezultātiem neprasīja nolasīt ne vienu kravnesuma baitu.

Lasīšana, kas patiešām notiek, atrodas malās: sadalīts tunelis nodod iekšējo HTTPS uzņēmuma starpniekserverim, un darba devējam piederošs koncentrators izejā atklāj visu. Ko vien atrodat, neizslēdziet sertifikāta pārbaudi, lai piespiestu savienojumu, jo šī pārbaude ir vienīgais, kas atdala pārbaudi no uzbrucēja.