നിങ്ങളുടെ VPN വഴി പ്രാദേശിക നെറ്റ്‌വർക്ക് ഇപ്പോഴും കാണുന്നത്

ആരെങ്കിലും VPN തങ്ങളുടെ ട്രാഫിക് മറയ്ക്കുന്നുണ്ടോ എന്ന് ചോദിക്കുമ്പോഴെല്ലാം മൂന്ന് നിരീക്ഷകർ ഒരു ചോദ്യത്തിൽ ഒന്നിക്കുന്നു: അവർ ബന്ധിപ്പിച്ചിരിക്കുന്ന നെറ്റ്‌വർക്ക്, അവരുടെ കൈയിലെ യന്ത്രം, ടണലിന്റെ ഓപ്പറേറ്റർ. ഓരോരുത്തരും വ്യത്യസ്ത കാര്യങ്ങൾ പഠിക്കുന്നു, ടണൽ ആ കാഴ്ചകളിൽ ഓരോന്നിനെയും വ്യത്യസ്തമായി മാറ്റുന്നു. വിപരീത ദിശയിൽ പ്രവർത്തിച്ച് ഉന്നയിക്കുന്ന വാദത്തിൽ നിന്ന് തുടങ്ങുന്നത് സഹായകമാണ്, കാരണം പരിശോധനയെ അതിജീവിക്കേണ്ടത് വാദമാണ്. നിങ്ങൾക്ക് ഏത് വാദം വേണമെന്ന് തീരുമാനിച്ച്, പിന്നീട് ഉപകരണങ്ങളെ അതുമായി താരതമ്യം ചെയ്യുക.

ആദ്യ വാദം: ട്രാഫിക് ആർക്കും വായിക്കാനാവില്ല

ഏറ്റവും ഇടുങ്ങിയ വാദത്തിൽ നിന്ന് തുടങ്ങുക: പേലോഡ് വായിക്കാനാവാത്തതായി തുടരുന്നു. പാതയിലെ നിഷ്ക്രിയ നിരീക്ഷകന് TLS സെഷനുള്ളിൽ കാണാനാവില്ല, അതിനാൽ ഇതിനകം HTTPS ഉപയോഗിക്കുന്ന സൈറ്റിന് ടണൽ കുറച്ച് മാത്രം ചേർക്കുന്നു, രണ്ട് അറ്റങ്ങൾക്കെതിരെ ഒന്നും ചേർക്കുന്നില്ല. ഈ വാദം തകർക്കുന്നത് ഉപകരണം നിയന്ത്രിക്കുന്നയാളാണ്, കാരണം പരിശോധനാ പ്രോക്സി ബന്ധം അവസാനിപ്പിച്ച് യന്ത്രം ഇതിനകം വിശ്വസിക്കുന്ന ഒരു മൂലത്തോടെ വീണ്ടും ഒപ്പിടുന്നു. അതുകൊണ്ടാണ് സർട്ടിഫിക്കറ്റ് ശൃംഖലയിൽ മൂലം ഇൻസ്റ്റാൾ ചെയ്ത സംഘടനയുടെ പേരുണ്ടായിരിക്കെയും പൂട്ട് ഇപ്പോഴും കാണുന്നത്.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS-ൽ ആ പൈപ്പ്‌ലൈൻ യന്ത്രത്തിന്റെ കീച്ചെയിനിലെ ഓരോ സർട്ടിഫിക്കറ്റിനും ഒരു വിഷയ വരി അച്ചടിക്കുന്നു, ജാലകം തുറക്കാതെ, Windows-ൽ certutil -store Root certlm.msc ഗ്രാഫിക്കായി കാണിക്കുന്ന അതേ സംഭരണം തന്നെ പട്ടികപ്പെടുത്തുന്നു. സ്കൂളിന്റെയോ തൊഴിലുടമയുടെയോ നെറ്റ്‌വർക്ക് സുരക്ഷാ ഉൽപന്നത്തിന്റെയോ മൂലമാണ് തിരയേണ്ട എൻട്രി. ഒന്ന് കണ്ടെത്തുന്നത് തടയിടൽ സാധ്യമാണെന്ന് മാത്രം തെളിയിക്കുന്നു, അത് നടക്കുന്നുണ്ടെന്നല്ല.

അതിനെക്കുറിച്ച് നിങ്ങൾക്ക് എന്ത് ചെയ്യാം എന്നത് സാങ്കേതികതയുടെയല്ല, നയത്തിന്റെ ചോദ്യമാണ്. നിങ്ങളുടേതല്ലാത്ത ഹാർഡ്‌വെയറിൽ നിന്ന് പ്രൊഫൈലോ പരിശോധനാ മൂലമോ നീക്കം ചെയ്യുന്നത് സാധാരണയായി സ്വീകാര്യ ഉപയോഗ കരാർ ലംഘിക്കുന്നു, മാനേജ്‌മെന്റ് സംവിധാനം അത് ശ്രദ്ധിച്ച് വീണ്ടും പ്രയോഗിക്കാൻ സാധ്യതയുണ്ട്, അതിനാൽ ഉപകരണ ഉടമ നിങ്ങളുടെ ട്രാഫിക് വായിക്കരുത് എന്ന ആവശ്യത്തിന് മറ്റൊരു ഉപകരണം വേണം, മറ്റൊരു ക്രമീകരണമല്ല.

രണ്ടാം വാദം: നിങ്ങൾ എവിടെ പോകുന്നു എന്ന് ആരും കാണുന്നില്ല

ലക്ഷ്യസ്ഥാനമാണ് കൂടുതൽ ബുദ്ധിമുട്ടുള്ള വാദം, കാരണം പേജ് ലോഡ് ചെയ്യുന്നതിന് മുൻപ് രണ്ട് വെളിപ്പെടുത്തലുകൾ സംഭവിക്കുന്നു. അന്വേഷണം സിസ്റ്റം ഉപയോഗിക്കാൻ ക്രമീകരിച്ചിരിക്കുന്ന റിസോൾവറിലേക്ക് പോകുന്നു, മറുപടി അത് വഹിക്കുന്ന നെറ്റ്‌വർക്കിന് കാണാം. പിന്നീട് TLS ഹസ്തദാനം ആവശ്യപ്പെട്ട സെർവർ നാമം തുറന്ന് കൊണ്ടുപോകുന്നു, ഇരു അറ്റങ്ങളിലും Encrypted Client Hello പിന്തുണയ്ക്കുന്നില്ലെങ്കിൽ. രണ്ട് വെളിപ്പെടുത്തലുകളിലും ഡീക്രിപ്ഷൻ ഇല്ല, അതിനാൽ ടണലിന് രണ്ടിനെയും ബാധിക്കുന്നില്ല.

resolvectl status | grep -A2 "Link"
nslookup example.com

ഏത് റിസോൾവർ യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്നു എന്നതാണ് വെളിപ്പെടുത്തൽ നിർണ്ണയിക്കുന്നത്, അത് തർക്കിക്കുന്നതിന് പകരം അളക്കാം. Linux-ൽ resolvectl status ഓരോ ലിങ്കിനും DNS സെർവറുകൾ അച്ചടിക്കുന്നു, അതിന്റെ ഔട്ട്പുട്ട് സൈറ്റിന്റെ റിസോൾവർ ഉത്തരം നൽകുന്നുണ്ടോ തള്ളിയതാണോ എന്ന് പറയുന്നു. Windows അതേ ചോദ്യത്തിന് nslookup example.com കൊണ്ട് ഉത്തരം നൽകുന്നു, അതിന്റെ ഔട്ട്പുട്ടിന്റെ ആദ്യ ബ്ലോക്ക് ഉത്തരം നൽകിയ DNS സെർവറാണ്.

ടണൽ ഉയരുന്നതിന് മുൻപ് ലാപ്ടോപ്പ് സൈറ്റിന്റെ റിസോൾവറിനോട് ചോദിക്കുമ്പോൾ, അല്ലെങ്കിൽ പ്രൊഫൈൽ പകര സെർവറില്ലാതെ എത്തി പഴയത് ഉപയോഗത്തിൽ തുടരുമ്പോൾ, അഡ്മിനിസ്ട്രേറ്റർ ഒന്നും ഡീക്രിപ്റ്റ് ചെയ്യാതെ ഹോസ്റ്റ്നാമങ്ങൾ ശേഖരിക്കുന്നു. ബ്രൗസറിലെ എൻക്രിപ്റ്റ് ചെയ്ത DNS തള്ളിയ റിസോൾവറിനെ ഒഴിവാക്കുന്നു, അല്ലെങ്കിൽ പൂർണ്ണമായി തടയപ്പെട്ട് അടഞ്ഞ നിലയിൽ പരാജയപ്പെടുന്നു. എക്സിറ്റ് ഓപ്പറേറ്റർ തന്റെ ഭാഗത്ത് നിന്ന് അതേ പേരുകൾ കാണുന്നു. അതിനാൽ റിസോൾവർ മാറ്റുന്നത് ആ വെളിപ്പെടുത്തൽ ടണൽ ദാതാവിൽ നിന്ന് അകറ്റുന്നില്ല.

മൂന്നാം വാദം: നിങ്ങൾ ബന്ധിപ്പിച്ചു എന്ന് ആർക്കും അറിയില്ല

മൂന്നാം വാദം ടണലിന് പിന്തുണയ്ക്കാനാവാത്തതാണ്, കാരണം പാക്കറ്റുകൾ ഇപ്പോഴും പ്രാദേശിക നെറ്റ്‌വർക്ക് കടക്കുന്നു. ആ നെറ്റ്‌വർക്ക് അറ്റത്തിന്റെ വിലാസം, ഏകദേശ അളവ്, സമയം, ഒരു ദീർഘകാല എൻക്രിപ്റ്റ് ചെയ്ത സെഷന്റെ സാന്നിധ്യം എന്നിവ പഠിക്കുന്നു, അത് തടയാനും പരിമിതപ്പെടുത്താനും വെറുതെ ശ്രദ്ധിക്കാനും മതി. പാക്കറ്റ് വായിക്കാനാവാത്ത ഫയർവാൾ പോലും അത് കടത്തിവിടാൻ വിസമ്മതിക്കാം. നിരീക്ഷിക്കപ്പെടുന്നത് ആരും നിരീക്ഷിക്കാത്തതിന് തുല്യമല്ല: നിങ്ങൾ നിരീക്ഷകനെ മാറ്റി, മായ്ച്ചില്ല.

വിഭജിത ടണലിംഗും തള്ളിയ പാത അവഗണിക്കുന്ന ഏത് ആപ്ലിക്കേഷനും ടണലിന് പുറത്ത് മുൻപത്തെപ്പോലെ കാണുന്ന പ്രവാഹങ്ങൾ സൃഷ്ടിക്കുന്നു. ശ്രദ്ധാലുവായ നിരീക്ഷകൻ ആദ്യം ശ്രദ്ധിക്കുന്നത് ആ പ്രവാഹങ്ങളെയാണ്, ക്ലയന്റിന്റെ റൂട്ട് പട്ടിക ഏത് ലക്ഷ്യസ്ഥാനങ്ങൾ ഒഴിവാക്കിയിരിക്കുന്നു എന്ന് കാണിക്കുന്നു.

മറുവശത്തെ ഓപ്പറേറ്റർ ആ കാഴ്ചയുടെ കണ്ണാടി പ്രതിബിംബം കൈവശം വയ്ക്കുന്നു: എക്സിറ്റ് വിലാസം, സമയം, അളവ്, സാധാരണയായി സൈറ്റുകളുടെ പേരുകൾ. നിങ്ങളുടെ ദാതാവ് കാഴ്ചയുള്ള കക്ഷിയാകുന്നു, അത് അദൃശ്യതയിൽ നിന്ന് വ്യത്യസ്തമായ ഒരു കരാറാണ്. വിശ്വസിക്കാവുന്ന ദാതാവിനെ തിരഞ്ഞെടുക്കുന്നത് യഥാർത്ഥ തീരുമാനമാണ്; ഫലത്തെ നിരീക്ഷിക്കപ്പെടാത്തത് എന്ന് വിളിക്കുന്നതല്ല.

നിങ്ങൾക്ക് ഏത് വാദം വേണമെന്ന് തീരുമാനിക്കുക

ക്ലയന്റ് തൊടുന്നതിന് മുൻപ് ആവശ്യകത ഒരു വരിയിൽ എഴുതുക: ഉള്ളടക്കം മറയ്ക്കുക, ലക്ഷ്യസ്ഥാനങ്ങൾ മറയ്ക്കുക, അല്ലെങ്കിൽ നിങ്ങൾ ബന്ധിപ്പിച്ചോ എന്ന് തന്നെ മറയ്ക്കുക. ഉള്ളടക്കം HTTPS-ഉം ടണലും ഇതിനകം കൈകാര്യം ചെയ്യുന്നു, ലക്ഷ്യസ്ഥാനങ്ങൾക്ക് സൈറ്റിന്റെ ഉപകരണങ്ങളെ പൂർണ്ണമായി ഒഴിവാക്കുന്ന റിസോൾവറും പാതയും വേണം.

മൂന്നാം ആവശ്യകതയാണ് അസ്വസ്ഥമായത്, കാരണം എവിടെയോ എന്തോ ഇപ്പോഴും കാണാവുന്ന വിധത്തിൽ ബന്ധിപ്പിച്ചിരിക്കുന്നു, എൻക്രിപ്റ്റ് ചെയ്തതോ അല്ലയോ. ഏത് ക്ലയന്റ് ക്രമീകരണവും അത് മാറ്റുന്നില്ല. ആവശ്യകതയും നയവും അകലുകയാണെങ്കിൽ, ആ വിടവ് നയത്തിന്റെ ഉടമയുമായുള്ള സംഭാഷണത്തിൽ പെടുന്നതാണ്, ക്ലയന്റ് ഓപ്ഷനിലല്ല. അതിന് ഉത്തരം നൽകാൻ കഴിയുന്നത് നയം എഴുതിയയാളാണ്.