Onion услуга наспроти VPN услуга: различни модели на пристап

Луѓето ја опишуваат Onion услугата и услугата достапна само преку VPN како две варијанти на истата идеја: сокриј го портот, сподели ја тајната адреса. Тие се разликуваат по тоа на што е врзана адресата, кој може да ја достигне и што мора да се случи пред да пристигне барање. Едната е место на средба внатре во Tor, другата е рута во приватна мрежа. Да се третираат како заменливи создава решенија што не се ни приватни ни одржливи.

Мит: двете решенија се само скриена врата

Заедничката особина е вистинска, но тенка: ниту едно решение не го става административниот интерфејс на директно достапен јавен порт. Сѐ друго се разделува. Onion адресата се изведува од сопствениот клуч на услугата, затоа името е врзано со идентитет; VPN адресата е само адреса во мрежа во која ве примиле. Едното ја крие услугата во слој на покривање, другото ве прима во приватна топологија. Третирањето на второто како синоним на првото е почетокот на конфузијата.

Ниту една од двете особини не е безбедносна контрола за самата апликација. Скриеното место не го крпи софтверот зад него, а приватната рута не додава автентикација на страницата за најава. Двете решенија сѐ уште бараат сопствени дозволи на апликацијата и сѐ уште бараат некој одговорен за ажурирањата и возобновувањето.

На што всушност покажува Onion адресата

Onion адресата во верзија v3 го кодира јавниот клуч на услугата, поради што никој не може да избере адреса за услуга што ја не контролира. Клиентот се поврзува преку Tor со место на средба, а услугата го достигнува истото место од својата страна; ниту еден обичен излезен јазол не ја носи таа врска до услугата. Името е идентитет, а не DNS запис.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Затоа додавањето рута или запис во hosts за onion име не помага ништо. Пребарувањето не е механизмот; механизам е Tor клиентот и неговите кола. Ако услугата е наменета за мала група луѓе, onion авторизацијата на клиентот може да бара клуч пред врската да биде прифатена, но тоа сѐ уште не е најава во апликацијата. Објавувањето на адресата е исто така намерен чин, бидејќи секој што ќе ја дознае може да се обиде да се поврзе, освен ако не сте ја ограничиле.

Запрете ако единствената причина за onion решението е да се избегне поставување автентикација. Слојот на покривање не го дава тоа, а вие ќе го изградите подоцна во секој случај.

Што всушност дава VPN рутата

VPN прима уред во мрежа и му дава рута до порта или подмрежа. Услугата зад таа порта гледа адреса од базенот на тунелот и ја применува авторизацијата што ја има. Рутата не кажува ништо за тоа кој е корисникот; таа кажува каде смеат да одат пакетите.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Тој модел одговара на позната група со управувани уреди, бидејќи портата може да ја наметне состојбата на уредот и мрежата може да се ревидира. Лошо одговара на анонимни или случајни посетители, кои прво би требало да бидат запишани. Најавата на самата апликација сѐ уште одлучува што смее да чита поврзан корисник. Мешањето на достапноста со дозволата е начинот на кој VPN на крајот дава цела подмрежа на секој што може да се поврзе.

Запрете ако публиката е непозната или постојано се менува. Запишувањето странци во приватна мрежа за да им се покаже една страница е голем ангажман во споредба со објавување услуга.

Избор меѓу нив, и што останува исто

Изберете го onion моделот кога публиката е техничка, услугата воопшто не смее да има јавна адреса и можете да ги прифатите барањата на Tor клиентот. Изберете го VPN моделот кога публиката е определена група чии уреди ги управувате и чиј пристап сакате да го запишувате на мрежно ниво. Ниту еден избор не ја отстранува потребата од автентикација на апликацијата, закрпи или пат за возобновување. Ниту еден не е автоматски поприватен во смислата што е важна за вашите корисници.

Во двете решенија запишете кој може да ја достигне услугата, како се идентификуваат и што се случува кога ќе се изгубат пристапните податоци. Одговорот за onion услуга ги вклучува нејзините клучеви за клиентска авторизација и самата адреса; одговорот за VPN ги вклучува сметката, уредот и политиката на портата. Тоа се различни пописи и само еден од нив ќе биде очигледен за следниот администратор.

Споредбата завршува таму каде што започнува апликацијата. Скриената адреса и приватната рута се избори на транспорт, а апликацијата сѐ уште треба да одлучи што смее да направи барањето. Чувајте ги тие одлуки во одделни документи и ниту едно решение тивко нема да ја преземе работата на другото.