Што може и што не може да види корпоративен firewall во VPN

Истиот лаптоп стигнува до VPN од дома и не може да се поврзе од канцеларијата, значи некој ја чита сообраќајот. Блокирањето и читањето се одделни овластувања, и само второто бара место на патеката плус сертификат на кој клиентот му верува. Средната кутија што го исфрла вашето ракување не научила ништо за тоа што би го испратиле. Да се одлучи со кое од двете се соочувате е целата работа.

Блокирањето и читањето се различни овластувања

Одбивањето е евтино и гласно: сокетот се отвора и ништо не одговара, или веднаш пристигнува ресетирање. Ништо од тоа не значи проверка, бидејќи ниту еден товар не преминал низ жицата.

Читањето бара крајна точка што ја завршува заштитата, се докажува со сертификат и отвора ново поврзување понатаму. Таа точка мора да стои на патеката и клиентот да ѝ верува. Firewall што само препраќа пакети нема ни позиција ни овластување.

Што дава обвивката бесплатно

Секој пакет на тунелот има надворешна страна, а надворешната мора да биде рутирачка. Тоа значи две адреси, протокол, порта и должина, плус време и волумен. Секој рутер веќе ги обработува тие полиња, а NAT ја препишува адресата и портата за да ја одржи својата табела на мапирање конзистентна. Товарот останува запечатен, па набљудувањето запира на фактот дека постои тунел меѓу два хоста.

Името на хостот не е меѓу нив. Страниците истекуваат низ други врати, а најшироката е DNS: ако лаптопот сѐ уште го прашува локалниот резолвер, имињата се појавуваат откриено.

Времето и волуменот заслужуваат почит без претерување. Бајти во минута можат да покажат дека голем пренос започнува во 14:20; не можат да покажат која датотека се преместила. Тоа е вистинско откривање за однесувањето и друга категорија од читање содржина.

TLS пресретнувањето бара корен на кој веќе му верувате

Уредот за проверка не го крши TLS; го завршува. На клиентот му одговара сертификат од корен што организацијата го поседува, а второто поврзување оди кон вистинската дестинација. Клиентот го прифаќа тоа затоа што тој корен стои во неговото складиште за доверба, затоа управуваниот лаптоп не покажува предупредување. Криптографијата никогаш не била победена; крајната точка била преместена.

Затоа овој распоред остава докази. Издавачот на претставениот синџир и припаѓа на организацијата, а не на јавна CA, и клиентот може да го види тоа без специјални алатки. Синџир што завршува во внатрешен корен е потписот на пресретнувањето, не дефект.

Зошто VPN каналот не е HTTPS сесија

VPN каналот за податоци не му дава на инспекторот таков потпир. IKEv2 и WireGuard водат свои ракувања и распореди на клучеви, без TLS за завршување, додека OpenVPN позајмува TLS за својот контролен канал во изменета форма пред да ги заштити податоците на свој начин. Прокси изградено за HTTPS не ја препознава таа сесија како нешто што може да го анализира.

Уред што не може да анализира сесија сепак може да ја отфрли. Затоа блокирањето на VPN обично изгледа како истекување на времето, а не како предупредување за сертификат, и затоа исклучокот не менува ништо.

Проверете од сопствената машина

Започнете со синџирот што го претставува страницата. Деталите за страницата во прелистувачот го покажуваат издавачот, а командната линија го известува истото без резимето:

openssl s_client -connect example.com:443 -servername example.com

Потоа со бројачи одвојте го одбиеното ракување од филтрираниот внатрешен сообраќај. Запишете ја транспортната порта пред секое правило за отфрлање и прочитајте ги по обидот:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ниту една линија во дневникот на надворешниот сокет значи дека ракувањето никогаш не излегло, па патеката го одбива тунелот. Завршено ракување со неуспех само на некои дестинации значи дека тунелот работи, а внатрешната политика не. Ниту еден од резултатите не бараше читање на еден бајт товар.

Читањето што навистина се случува е на рабовите: поделениот тунел го предава внатрешниот HTTPS на корпоративно прокси, а концентраторот во сопственост на работодавачот открива сѐ на излезот. Што и да најдете, не исклучувајте ја проверката на сертификатот за да наметнете поврзување, бидејќи таа проверка е единственото што ја дели проверката од напаѓач.