Пренасочен VPN порт: што можат да видат посетителите и давателот

Пренасочувањето на порт им дава на странците пат до сервис преку јавната адреса на давателот. Таа единствена промена влијае истовремено врз изложеноста и препознатливоста, а ниту една од нив не го објавува името на оној што го води сервисот. Одвојувањето на двете ги избегнува спротивните грешки да се третира 'пренасочувањето' како анонимност и да се третира како идентификација. Три прашања чисто ги одделуваат, а одговорите доаѓаат од различни докази.

Три објекти, три различни прашања

Држете ја јавната адреса одвоена од апликацијата што одговара зад неа, а двете одвоени од лицето или организацијата што ја води работата. Секое има своја публика и свои докази. Нивното мешање дава заклучоци што звучат уредно и се погрешни.

Поминете ги по тој редослед. Првото е прашање за достапноста, второто е прашање за идентитетот на апликацијата, а третото е прашање за припишувањето за кое првите две даваат само делумна слика. Кога некој прашува дали пренасочувањето порт е приватно, прашајте кое од трите го мисли. Одговорите навистина се разликуваат, а страницата со политика обично се занимава само со едно од нив.

Што може посетителот да поврзе меѓу крајните точки

Посетителот се поврзува со крајната точка и го гледа она што апликацијата легитимно го прикажува: 'име на домаќин', име на сертификат, страница за најава, објавена содржина. Овие детали го идентификуваат сервисот дури и кога неговата вообичаена адреса за пристап е скриена зад тунелот. Две крајни точки што го прикажуваат истото именувано мрежно место им даваат на набљудувачите основа да ги поврзат. Ништо во тоа однесување не е истекување, бидејќи апликацијата е создадена за да биде видена.

Совпаѓањето на сертификати, пренасочувања и содржина на страници меѓу две крајни точки е силен сигнал дека тие припаѓаат на еден сервис. Тоа останува тврдење за сервисот, а не за човек, сѐ додека некој друг запис не ги поврзе двете.

Упатствата на IETF за приватност опишуваат како постојаните идентификатори овозможуваат корелација на интеракциите со текот на времето. Корелацијата не е припишување, бидејќи еден сервис можат да го администрираат повеќе луѓе и адресата може да се премести меѓу неповрзани претплатници. Токму таа разлика спречува наодот за корелација да се претвори во обвинение.

Што треба да знае давателот на пренасочувањето

За да достави влезна врска, системот на давателот мора да ја држи активната врска меѓу јавната влезна точка и внатрешната дестинација. Тој оперативен факт се разликува од она што го гледа посетителот и повторно се разликува од она што давателот избира да го задржи. Држете ги двете прашања одвоени кога читате страница со политика, бидејќи едното е неизбежно, а другото е одлука. Тврдењето дека не се чува историја на прелистување не кажува ништо за историјата на мапирањата.

Дали историските мапирања, поврзаноста со сметка или записите за врска остануваат е прашање за вистинската политика и имплементација на давателот. Пренасочувањето не докажува дека секоја категорија се евидентира. Прашајте конкретно кои полиња остануваат откако мапирањето ќе се повлече и колку долго.

Влезната достапност е одвоена и од излезното рутирање на клиентот, од DNS и од однесувањето при грешка. Додавањето мапирање не опишува како излегува остатокот од сообраќајот на клиентот.

Колку долго трае мапирањето ја менува изложеноста

Мапирањето може да трае за сесија, за резервација или според политика на давателот што го менува. Не треба да се претпоставува ниту постојано доделување ниту постојана ротација; читајте го документираното однесување на производот и запишете го она што го набљудувате. Две набљудувања со разлика од една недела кажуваат повеќе за 'ротацијата' отколку која било маркетинг реченица на страницата на производот. Запишете го набљудуваниот интервал покрај крајната точка во вашите белешки, бидејќи интервалот е дел од изложеноста.

Животниот век го менува тоа која корелација е возможна. Стабилна крајна точка поканува долгорочно следење на еден сервис, додека ротирачката го прави секое набљудување потешко поврзливо со претходното. Ниту една од двете особини не е гаранција за записите на давателот, и ниту една не го заменува решението за тоа што објавува самиот сервис.

Објавете намерно, потоа затворете ги двете врати

Потврдете дека давателот го дозволува протоколот што ви треба, дека целниот слушател е оној што сте го мислеле и дека контролите на домаќинот и апликацијата сѐ уште го ограничуваат пристапот. Пред објавувањето, погледнете што ќе му прикаже сервисот на странец. Овие две наредби го покажуваат сертификатот и заглавијата што ги добива посетителот.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Објавувањето на нешто не го оправдува откривањето на неговите административни страници или отфрлањето на најавата на апликацијата, а преводот не обезбедува TLS на сервис што никогаш го немал. Држете го шифрираниот протокол и неговите проверки на идентитетот на серверот на место, без оглед на тоа како пристигнува сообраќајот. Потоа проверете ги заглавијата на одговорот, бидејќи 'банер' или страница за отстранување грешки може на странец да му каже повеќе отколку што сервисот има намера. Она што го враќаат двете наредби е истиот поглед што го добива набљудувачот.

Отстранувањето на сервисот значи две затворања, а не едно: повлечете го мапирањето преку неговиот сопственик, потоа третирајте ги слушателот и правото како одделни ставки. Крајна точка во обележувачи што престанува да одговара не отповикува акредитив и не враќа веќе доставени информации.