Излезната IP на VPN не е доказ за тунел: што гледаат серверите

Некој бара услуга до која можат да стигнат само корисници на VPN, а очигледната реализација е да се дозволи список на излезни адреси. Списокот прави нешто вистинско: ограничува кој може да се поврзе. Тој не докажува дека бил користен тунел, бидејќи адресата му припаѓа на тој што го управува излезот, а тој оператор може да го пренесе сообраќајот на секого. Разликата меѓу тие тврдења е целиот проблем на дизајнот.

Серверот гледа една адреса по врска

Врската пристигнува со изворна адреса и целна порта, и тоа е сето она што го известува мрежниот слој. Кога клиентот користи тунел, пакетите што стигнуваат до вашиот слушател доаѓаат од излезот или од преводот пред него. Сопствената адреса на клиентот, обично приватна, никогаш не се појавува. Затоа правило на огнен ѕид напишано за локалниот опсег на клиентот не прави ништо.

Сето по таа изворна адреса се податоци на апликацијата, и апликацијата може да им верува само онолку колку што ги автентификува.

Тестирајте како изгледа вашиот излез

Погледнете ја патеката од двата краја пред да напишете правило. Погледот на клиентот за неговиот излез и погледот на серверот за врската се двата факти што се важни.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Првата команда ја известува јавната адреса под која се појавува клиентот, и тоа е вредноста што мора да ја содржи секој список на дозволени. Втората ги прикажува воспоставените врски на серверот со адресите на нивните партнери, и токму со тоа правилото навистина ќе се совпадне. Ако двете не се совпаѓаат со вашиот мисловен модел, поправете го моделот пред да ја уредите политиката. Огнен ѕид за облачна база на податоци, список на дозволени за апликација и балансер на оптоварување можат секој да видат различен слој на превод.

Може да се наведе само едно од двете множества излези

Еден случај е проверлив во моментот на барањето, а другиот не, што дава многу различни гаранции.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Објавениот список на излези на Tor може да се преземе и спореди, зависно од староста на списокот и сопствената политика на секој излез, па правилото за одбивање на познати излези е спроведливо и прегледиво. Нема еквивалентен регистар за комерцијални VPN. Адресите се менуваат, многу добавувачи не објавуваат ништо, и тунел може да работи на изнајмена облачна адреса што никогаш не припаѓала на VPN. Списокот што го составувате е снимка на забележани адреси, а неговото проширување на хостинг опсези додава неповрзани оптоварувања без да додаде доказ.

Користете ги адресите како влез за политика, не како доказ

Одлучете за што служи правилото. Мрежното ограничување треба да остане тесно, да ја запише забележаната адреса со датум и причина и да им даде на легитимните корисници пат за враќање кога нивниот излез ќе се промени. Контролата на пристап бара автентификувана сметка или потпишан токен, бидејќи само тие го врзуваат барањето за идентитет. Проценката на ризик може да ја користи адресата како единствен несигурен сигнал, прифаќајќи ги неговите лажни позитивни и слепи точки. Да се напише правилото како производствена одлука е чесно; да се напише како проверка дека постои тунел не е.

Огледалното барање, враќањето на вистинската адреса на корисникот зад VPN, не успева од истата причина: една врска носи една адреса, а промената меѓу сесиите е согласна со неколку објаснувања. Третирајте ја претходната вредност како историја, не како вистина.