VPN-നുള്ളിൽ ഒരു കോർപ്പറേറ്റ് ഫയർവാൾ എന്ത് കാണാം, എന്ത് കാണാനാവില്ല

അതേ ലാപ്ടോപ്പ് വീട്ടിൽ നിന്ന് VPN-ൽ എത്തുന്നു, ഓഫീസിൽ നിന്ന് കണക്ട് ചെയ്യാനാവുന്നില്ല, അതിനാൽ ആരോ ട്രാഫിക് വായിക്കുന്നു. തടയലും വായനയും വെവ്വേറെ അധികാരങ്ങളാണ്, രണ്ടാമത്തേതിന് മാത്രമേ പാതയിൽ ഒരു സ്ഥാനവും ക്ലയന്റ് വിശ്വസിക്കുന്ന സർട്ടിഫിക്കറ്റും വേണ്ടൂ. നിങ്ങളുടെ ഹാൻഡ്ഷേക്ക് വലിച്ചെറിയുന്ന ഇടനില പെട്ടി നിങ്ങൾ അയയ്ക്കുമായിരുന്നതിനെക്കുറിച്ച് ഒന്നും പഠിച്ചില്ല. ഈ രണ്ടിൽ ഏതിനെയാണ് നേരിടുന്നതെന്ന് തീരുമാനിക്കുന്നതാണ് മുഴുവൻ ജോലി.

തടയലും വായനയും വ്യത്യസ്ത അധികാരങ്ങളാണ്

നിരസിക്കൽ വിലകുറഞ്ഞതും ഒച്ചയുള്ളതുമാണ്: സോക്കറ്റ് തുറക്കുന്നു, ഒന്നും ഉത്തരം നൽകുന്നില്ല, അല്ലെങ്കിൽ ഉടൻ റീസെറ്റ് വരുന്നു. ഇവയൊന്നും പരിശോധന അർത്ഥമാക്കുന്നില്ല, കാരണം ഒരു പേലോഡും കമ്പിയിൽ കൂടി കടന്നിട്ടില്ല.

വായനയ്ക്ക് സംരക്ഷണം അവസാനിപ്പിക്കുന്ന, സർട്ടിഫിക്കറ്റ് കൊണ്ട് സ്വയം തെളിയിക്കുന്ന, മുന്നോട്ട് പുതിയ കണക്ഷൻ തുടങ്ങുന്ന ഒരു എൻഡ്പോയിന്റ് വേണം. ആ ബിന്ദു പാതയിൽ ഇരിക്കണം, ക്ലയന്റ് അതിൽ വിശ്വസിക്കണം. പാക്കറ്റുകൾ മാത്രം കൈമാറുന്ന ഫയർവാളിന് സ്ഥാനവുമില്ല, അധികാരപത്രവുമില്ല.

ആവരണം സൗജന്യമായി എന്ത് നൽകുന്നു

ഓരോ ടണൽ പാക്കറ്റിനും ഒരു പുറമുണ്ട്, ആ പുറം റൂട്ട് ചെയ്യാവുന്നതായിരിക്കണം. അതായത് രണ്ട് വിലാസങ്ങൾ, ഒരു പ്രോട്ടോക്കോൾ, ഒരു പോർട്ട്, ഒരു നീളം, കൂടെ സമയവും അളവും. ഏത് റൗട്ടറും ആ ഫീൽഡുകൾ ഇതിനകം കൈകാര്യം ചെയ്യുന്നു, NAT തന്റെ മാപ്പിംഗ് പട്ടിക സ്ഥിരമായി നിർത്താൻ വിലാസവും പോർട്ടും വീണ്ടും എഴുതുന്നു. പേലോഡ് മുദ്രിതമായി തുടരുന്നു, അതിനാൽ നിരീക്ഷണം രണ്ട് ഹോസ്റ്റുകൾക്കിടയിൽ ഒരു ടണൽ ഉണ്ടെന്ന വസ്തുതയിൽ നിൽക്കുന്നു.

ഹോസ്റ്റ്നാമം അവയിൽ ഇല്ല. സൈറ്റുകൾ മറ്റ് വാതിലുകളിലൂടെ ചോരുന്നു, ഏറ്റവും വീതിയുള്ളത് DNS ആണ്: ലാപ്ടോപ്പ് ഇപ്പോഴും പ്രാദേശിക റിസോൾവറിനോട് ചോദിക്കുന്നുണ്ടെങ്കിൽ, പേരുകൾ തുറന്ന് കാണാം.

സമയവും അളവും അതിശയോക്തിയില്ലാതെ ബഹുമാനം അർഹിക്കുന്നു. മിനിറ്റിലെ ബൈറ്റുകൾ 14:20-ന് ഒരു വലിയ കൈമാറ്റം തുടങ്ങുന്നു എന്ന് കാണിക്കാം; ഏത് ഫയലാണ് നീങ്ങിയതെന്ന് കാണിക്കാനാവില്ല. അത് പെരുമാറ്റത്തെക്കുറിച്ചുള്ള യഥാർത്ഥ വെളിപ്പെടുത്തലാണ്, ഉള്ളടക്കം വായിക്കുന്നതിൽ നിന്ന് വ്യത്യസ്തമായ വിഭാഗം.

TLS ഇടപെടലിന് നിങ്ങൾ ഇതിനകം വിശ്വസിക്കുന്ന ഒരു റൂട്ട് വേണം

പരിശോധിക്കുന്ന ഉപകരണം TLS തകർക്കുന്നില്ല; അത് അവസാനിപ്പിക്കുന്നു. സംഘടനയുടെ ഉടമസ്ഥതയിലുള്ള ഒരു റൂട്ടിൽ നിന്നുള്ള സർട്ടിഫിക്കറ്റാണ് ക്ലയന്റിനോട് ഉത്തരം പറയുന്നത്, രണ്ടാമത്തെ കണക്ഷൻ യഥാർത്ഥ ലക്ഷ്യസ്ഥാനത്തേക്ക് പോകുന്നു. ആ റൂട്ട് അവന്റെ വിശ്വാസ സംഭരണിയിൽ ഉള്ളതിനാൽ ക്ലയന്റ് ഇത് സ്വീകരിക്കുന്നു, അതുകൊണ്ടാണ് നിയന്ത്രിത ലാപ്ടോപ്പ് മുന്നറിയിപ്പ് കാണിക്കാത്തത്. ക്രിപ്റ്റോഗ്രഫി ഒരിക്കലും തോറ്റിട്ടില്ല; എൻഡ്പോയിന്റ് മാറ്റി.

അതുകൊണ്ടാണ് ഈ ക്രമീകരണം തെളിവ് അവശേഷിപ്പിക്കുന്നത്. അവതരിപ്പിച്ച ചെയിനിലെ ഇഷ്യൂവർ പൊതു CA-യല്ല, സംഘടനയുടേതാണ്, സവിശേഷ ഉപകരണങ്ങളില്ലാതെ ക്ലയന്റിന് അത് കാണാം. ആന്തരിക റൂട്ടിൽ അവസാനിക്കുന്ന ചെയിൻ ഇടപെടലിന്റെ ഒപ്പാണ്, തകരാറല്ല.

VPN ചാനൽ HTTPS സെഷൻ ആകാത്തത് എന്തുകൊണ്ട്

VPN ഡാറ്റ ചാനൽ പരിശോധകന് അത്തരം ഒരു താങ്ങ് നൽകുന്നില്ല. IKEv2-വും WireGuard-ഉം സ്വന്തം ഹാൻഡ്ഷേക്കുകളും കീ ഷെഡ്യൂളുകളും നടത്തുന്നു, അവസാനിപ്പിക്കാൻ TLS ഇല്ല, അതേസമയം OpenVPN തന്റെ നിയന്ത്രണ ചാനലിന് TLS മാറ്റിയ രൂപത്തിൽ കടം വാങ്ങി, പിന്നീട് ഡാറ്റ സ്വന്തം രീതിയിൽ സംരക്ഷിക്കുന്നു. HTTPS-നായി നിർമ്മിച്ച പ്രോക്സി ആ സെഷനെ അതിന് പാർസ് ചെയ്യാവുന്ന ഒന്നായി തിരിച്ചറിയുന്നില്ല.

ഒരു സെഷൻ പാർസ് ചെയ്യാനാവാത്ത ഉപകരണത്തിനും അത് വലിച്ചെറിയാം. അതുകൊണ്ടാണ് VPN തടയൽ സാധാരണയായി സർട്ടിഫിക്കറ്റ് മുന്നറിയിപ്പിനെക്കാൾ ടൈംഔട്ട് പോലെ തോന്നുന്നത്, അതുകൊണ്ടാണ് ഒരു ഒഴിവാക്കലും ഒന്നും മാറ്റാത്തത്.

നിങ്ങളുടെ സ്വന്തം യന്ത്രത്തിൽ നിന്ന് പരിശോധിക്കുക

സൈറ്റ് അവതരിപ്പിക്കുന്ന ചെയിനിൽ തുടങ്ങുക. ബ്രൗസറിലെ സൈറ്റ് വിവരങ്ങൾ ഇഷ്യൂവറെ കാണിക്കുന്നു, കമാൻഡ് ലൈൻ സംഗ്രഹമില്ലാതെ അതേ കാര്യം റിപ്പോർട്ട് ചെയ്യുന്നു:

openssl s_client -connect example.com:443 -servername example.com

പിന്നീട് കൗണ്ടറുകൾ ഉപയോഗിച്ച് നിരസിക്കപ്പെട്ട ഹാൻഡ്ഷേക്ക് ഫിൽട്ടർ ചെയ്ത ആന്തരിക ട്രാഫിക്കിൽ നിന്ന് വേർതിരിക്കുക. ഏത് ഡ്രോപ്പ് നിയമത്തിനും മുൻപ് ട്രാൻസ്പോർട്ട് പോർട്ട് ലോഗ് ചെയ്ത് ശ്രമത്തിന് ശേഷം അവ വായിക്കുക:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

പുറം സോക്കറ്റിൽ ഒരു ലോഗ് വരിയുമില്ലെങ്കിൽ ഹാൻഡ്ഷേക്ക് ഒരിക്കലും പുറത്തുപോയിട്ടില്ല, അതിനാൽ പാത ടണലിനെ നിരസിക്കുന്നു. ഹാൻഡ്ഷേക്ക് പൂർത്തിയായി ചില ലക്ഷ്യസ്ഥാനങ്ങൾ മാത്രം പരാജയപ്പെടുന്നുവെങ്കിൽ ടണൽ പ്രവർത്തിക്കുന്നു, അതിനുള്ളിലെ നയം പ്രവർത്തിക്കുന്നില്ല. രണ്ട് ഫലങ്ങൾക്കും പേലോഡിന്റെ ഒരു ബൈറ്റ് വായിക്കേണ്ടി വന്നില്ല.

യഥാർത്ഥത്തിൽ നടക്കുന്ന വായന അരികുകളിലാണ്: വിഭജിത ടണൽ ആന്തരിക HTTPS കോർപ്പറേറ്റ് പ്രോക്സിക്ക് നൽകുന്നു, തൊഴിലുടമയുടെ ഉടമസ്ഥതയിലുള്ള കോൺസെൻട്രേറ്റർ പുറത്തേക്കുള്ള വഴിയിൽ എല്ലാം വെളിപ്പെടുത്തുന്നു. എന്ത് കണ്ടെത്തിയാലും, കണക്ഷൻ നിർബന്ധിക്കാൻ സർട്ടിഫിക്കറ്റ് പരിശോധന ഓഫ് ചെയ്യരുത്, കാരണം ആ പരിശോധനയാണ് പരിശോധനയെ ആക്രമണകാരിയിൽ നിന്ന് വേർതിരിക്കുന്ന ഏക കാര്യം.