Може ли мрежата да го блокира вашиот VPN без да ја скрши шифрирањето?
Шифрирањето го штити содржината, а не испораката. Споредете црни и бели списоци и исклучувања, а потоа прашајте што навистина може да поддржи едно набљудување.
Ниту еден оператор не му е потребен клуч за сесија за да запре тунел: фрлете ги пакетите на патеката и тој пропаѓа, додека криптографијата останува точно толку силна колку што вети нејзиниот дизајн. Шифрирањето го штити она што разговорот го носи, а не подготвеноста на која било мрежа да го носи. Одвојувањето на овие две својства ја претвора расправата за неблокираност во прашање која политика е на сила и до каде стигнува. Споредбата подолу ги држи достапноста и доверливоста одделно, зашто повеќето уверени тврдења за блокирање на VPN тивко ги спојуваат.
Достапноста е одлука што ја носи патеката
Секој транспорт зависи од патека што ги препраќа пакетите, и секое прашање за политика тука се сведува на таа одлука за препраќање. Правилото што ги фрла пакетите ја менува достапноста без да ја допре доверливоста, и токму така тунелот може да биде беспрекорно шифриран и целосно неупотреблив во истиот момент. Ништо во тој исход не бара кршење на шифра или враќање на клуч. Бара само контрола врз патеката.
Забуната обично почнува со тоа што две својства делат еден збор. Силната криптографија кажува кој може да чита тек; не кажува ништо за тоа дали посреден уред ќе го пропушти. Затоа тврдењето дека VPN не може да се блокира бара второ тврдење под него, имено дека никој на патеката не е подготвен да ги фрли пакетите.
Стилови на спроведување и цената на секој
Три стила покриваат повеќето вистински политики, и тие се разликуваат по тоа што мора да знаат, колку чини нивното работење и кој друг страда. Секој од нив може да одбие тунел без да дешифрира ништо. Разликите се важни зашто истиот збор, блокирање, се користи за сите три.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Таа табела е карта на трошоци, а не рангирање. Црниот список е евтин за почеток и скап за одржување точност; белиот список ја менува откривачката работа за одржување на дозволеното множество, а исклучувањето воопшто не бара класификација. Она што ги дели не е техничката префинетост туку каде секој го става постојаниот труд. Политика што на хартија изгледа едноставно обично има сокриена линија за одржување некаде на друго место.
Црниот список е ограничен од тоа колку добро адресата именува услуга
Црниот список одбива веќе идентификувани одредишта и останатите ги остава општо достапни. За негово спроведување се потребни адреси и порти, а не чист текст, и тоа го прави евтин за работа на почетокот. Трошокот доаѓа подоцна, зашто опсегот што некогаш означуваше еден давател подоцна може да вдомува десетина неповрзани закупци. Секоја промена на адреса наложува уредување на списокот, и секој застарен запис зема со себе невин сообраќај.
Прецизноста во овој модел е ограничена од тоа колку добро одредиштето идентификува услуга, а зафатената споделена крајна точка е лош идентификатор. Тоа е структурна граница, а не дефект во имплементацијата, па подобри алатки не ја отстрануваат. Тоа објаснува и зошто црните списоци имаат тенденција да растат: секоја нова крајна точка изгледа како мал додаток, а колатералната штета расте со списокот.
Белиот список го преместува товарот на одржување
Белиот список го превртува стандардното, така што поминуваат само однапред избраните одредишта или типови сообраќај. Не мора да го наброи секое забрането крајно одредиште, што помага кога забранетото множество е големо или брзо се менува. Она што му треба наместо тоа е одржувана дефиниција за дозволеното, плус спроведување што се совпаѓа со таа дефиниција.
Броевите на портите се вообичаената слаба точка во таква дефиниција. Дозволувањето порта не е исто како идентификување на секоја апликација што може да ја користи, па белиот список заснован на порти често пропушта повеќе отколку што неговиот автор предвидел. Отпечатоците на протоколите го имаат истиот проблем од друг агол, зашто тие идентификуваат облик на сообраќај, а не намера. Белиот список затоа не е автоматски попрецизен од црниот; тој е прецизен за нешто друго.
Што може да поддржи едно набљудување, а што не
Секое тврдење за блокирање треба да се чита со четири прашања в рака: кои пристапни мрежи, кои одредишта, кои протоколи и кој период на набљудување. Дефект виден денес на една мобилна мрежа не кажува ништо за истата крајна точка утре од друга мрежа. Ни тунел што еднаш работел не кажува ништо за постојана достапност.
Обликот на дефектот може да се набљудува пред да се теоретизира за неговата причина. Тивкото висење, веднаш добиеното одбивање и ресетирањето по поврзувањето укажуваат на различни стилови на спроведување, и две команди ги одвојуваат:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comВисење што завршува со истек на време укажува на тивко фрлање, брзото одбивање укажува на уред што одбива на патеката, а ресетирањето по поврзувањето укажува на состојбена интервенција, а не на недостижна рута. Прегледот на RFC 9505 за техниките на цензура ги опишува контролните точки и шемите на интервенција зад тие облици. Сепак ниту еден од нив не кажува колку широко се применува политиката. Трајноста е посилно тврдење од достапноста: крајните точки, софтверот, политиките и дозволените услуги сите се менуваат, па неограничената ефикасност бара претпоставки за продолжување на спроведувањето, а не список на адреси видени во еден момент.