Сүлжээ таны VPN-ийг шифрлэлтийг эвдэхгүйгээр блоклож чадах уу?
Шифрлэлт нь агуулгыг хамгаалдаг, хүргэлтийг биш. Блоклох жагсаалт, зөвшөөрлийн жагсаалт, бүрэн хаалтыг харьцуулж, дараа нь нэг ажиглалт юуны үндэс болж чадахыг асуу.
Ямар ч операторт туннелийг зогсоохын тулд сешний түлхүүр хэрэггүй: зам дээрх пакетуудыг хая, тэгвэл туннель бүтэлгүйтэх бөгөөд шифрлэлт нь зохиомжийнхоо амласан хэмжээнд хүчтэй хэвээр байна. Шифрлэлт нь яриа юу дамжуулж байгааг хамгаалдаг, аль ч сүлжээ үүнийг дамжуулах бэлэн байдлыг биш. Эдгээр хоёр шинжийг ялгах нь блоклох боломжгүй гэсэн маргааныг аль бодлого хүчинтэй, хэр хол хүрэхийг асуух асуулт болгоно. Доорх харьцуулалт хүртээмж ба нууцлалыг тусдаа барьж байгаа нь VPN блоклох тухай итгэлтэй мэдэгдлүүдийн ихэнх нь тэдгээрийг чимээгүй нэгтгэдэгтэй холбоотой.
Хүртээмж бол замын гаргах шийдвэр
Аливаа тээвэр нь пакетыг дамжуулдаг замаас хамаардаг бөгөөд эндхийн бүх бодлогын асуулт тэр дамжуулалтын шийдвэрт хүрдэг. Пакетыг хаях дүрэм нь нууцлалд хүрэлгүйгээр хүртээмжийг өөрчилдөг, яг ингэж туннель төгс шифрлэгдсэн атлаа мөн адил ашиглах боломжгүй байж болно. Тэр үр дүнд шифрийг эвдэх эсвэл түлхүүрийг сэргээх шаардлага байхгүй. Зөвхөн замыг хянах шаардлагатай.
Төөрөгдөл нь ихэвчлэн хоёр шинж нэг үгийг хуваалцахаас эхэлдэг. Хүчтэй шифрлэлт нь урсгалыг хэн уншиж болохыг хэлдэг; дундын төхөөрөмж түүнийг нэвтрүүлэх эсэхийг юу ч хэлдэггүй. Иймд VPN-ийг блоклож болохгүй гэсэн мэдэгдэл дор нь хоёр дахь мэдэгдэл шаарддаг, тухайлбал зам дээр хэн ч пакетыг хаяхыг хүсэхгүй байгаа гэсэн.
Хэрэгжүүлэх хэв маяг ба тус бүрийн үнэ
Гурван хэв маяг бодит бодлогын ихэнхийг хамардаг бөгөөд тэд юу мэдэх ёстой, ажиллуулахад хэчнээн зардалтай, өөр хэн зовох зэргээр ялгаатай. Тус бүр нь юуг ч тайлгүйгээр туннелиас татгалзаж чадна. Ялгаа нь чухал, учир нь блоклолт гэдэг ижил үг гурвуулахад хэрэглэгддэг.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Тэр хүснэгт нь зардлын зураг, эрэмбэ биш. Блоклох жагсаалт эхлэхэд хямд, нарийвчлалтай байлгахад үнэтэй; зөвшөөрлийн жагсаалт илрүүлэлтийг зөвшөөрөгдсөн олонлогийн засвартай солилцож, бүрэн хаалт нь ямар ч ангилал шаарддаггүй. Тэдгээрийг ялгах нь техникийн нарийн чанар биш, харин тус бүр байнгын хүчин чармайлтыг хаана тавьдагт оршино. Цаасан дээр энгийн харагдах бодлого ихэвчлэн өөр газар нуугдсан засварын мөртэй байдаг.
Блоклох жагсаалт нь хаяг үйлчилгээг хэр сайн нэрлэхээр хязгаарлагддаг
Блоклох жагсаалт аль хэдийн тодорхойлогдсон чиглэлээс татгалзаж, бусад нь ерөнхийдөө хүртээмжтэй хэвээр. Үүнийг хэрэгжүүлэхэд нээлттэй текст биш хаяг, порт хэрэгтэй бөгөөд энэ нь эхэнд нь хямд байлгадаг. Зардал дараа ирдэг, учир нь нэг нийлүүлэгчийг тодорхойлж байсан хүрээ дараа нь арваад хамааралгүй түрээслэгчийг байрлуулж болно. Хаягийн аливаа өөрчлөлт жагсаалтыг засахыг шаардаж, хуучирсан бичлэг бүр гэмгүй урсгалыг дагуулж явдаг.
Энэ загварт нарийвчлал нь чиглэл үйлчилгээг хэр сайн тодорхойлохоос хамаарч хязгаарлагддаг бөгөөд завгүй хуваалцсан төгсгөлийн цэг нь муу танигч юм. Энэ нь хэрэгжүүлэлтийн алдаа биш бүтцийн хязгаар тул илүү сайн хэрэгсэл үүнийг арилгахгүй. Энэ нь блоклох жагсаалт яагаад өсөх хандлагатайг тайлбарладаг: шинэ төгсгөлийн цэг бүр жижиг нэмэлт мэт харагдаж, хажуугийн хохирол жагсаалттай хамт өсдөг.
Зөвшөөрлийн жагсаалт засварын ачааг шилжүүлдэг
Зөвшөөрлийн жагсаалт өгөгдмөлийг эргүүлж, зөвхөн урьдчилан сонгосон чиглэл эсвэл урсгалын төрөл нэвтрэх боломжтой болгоно. Хориглосон төгсгөлийн цэг бүрийг жагсаах шаардлагагүй бөгөөд хориглосон олонлог том эсвэл хурдан өөрчлөгдөхөд энэ нь тустай. Үүний оронд түүнд зөвшөөрөгдсөний засвартай тодорхойлолт, тэр тодорхойлолттой нийцсэн хэрэгжилт хэрэгтэй.
Портын дугаарууд ийм тодорхойлолтын ердийн сул цэг юм. Портыг зөвшөөрөх нь түүнийг ашиглаж болох бүх програмыг тодорхойлохтой ижил биш тул портод суурилсан зөвшөөрлийн жагсаалт зохиогчийн санаасанаас илүүг нэвтрүүлдэг. Протоколын хурууны хээ нь өөр өнцгөөс ижил асуудалтай, учир нь тэд урсгалын хэлбэрийг тодорхойлдог, санаа бодлыг биш. Иймд зөвшөөрлийн жагсаалт блоклох жагсаалтаас автоматаар нарийвчлалтай биш; тэр өөр зүйлийн хувьд нарийвчлалтай.
Нэг ажиглалт юуг батлаж чадах, юуг чадахгүй
Блоклолтын тухай аливаа мэдэгдлийг гартаа дөрвөн асуулттай унших хэрэгтэй: ямар хандалтын сүлжээ, ямар чиглэл, ямар протокол, ямар ажиглалтын хугацаа. Өнөөдөр нэг гар утасны сүлжээнд харсан алдаа маргааш өөр сүлжээнээс мөн тэр төгсгөлийн цэгийн тухай юу ч хэлэхгүй. Нэг удаа ажилласан туннель ч тогтвортой хүртээмжийн тухай юу ч хэлэхгүй.
Алдааны хэлбэрийг шалтгааны тухай онол боловсруулахаас өмнө ажиглаж болно. Чимээгүй гацах, шууд татгалзах, холбогдсоны дараах дахин тохируулга нь өөр өөр хэрэгжүүлэх хэв маягийг заадаг бөгөөд хоёр команд тэдгээрийг ялгадаг:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comХугацаа дуусахад хүргэдэг гацалт нь чимээгүй хаяхыг, хурдан татгалзал зам дээрх татгалздаг төхөөрөмжийг, холбогдсоны дараах дахин тохируулга нь алга болсон маршрут биш төлөвтэй оролцоог заана. RFC 9505 цензурын арга барилын тойм тэдгээр хэлбэрийн ард байгаа хяналтын цэг, оролцооны хэв маягийг тодорхойлдог. Гэхдээ тэдгээрийн аль нь ч бодлого хэр өргөн үйлчлэхийг хэлдэггүй. Тогтвортой байдал нь хүртээмжээс илүү хүчтэй мэдэгдэл: төгсгөлийн цэг, програм хангамж, бодлого, зөвшөөрөгдсөн үйлчилгээ бүгд өөрчлөгддөг тул тодорхойгүй үр дүнтэй байдал нь нэг мөчид харсан хаягийн жагсаалт биш, хэрэгжилт үргэлжлэх талаарх таамаглалыг шаарддаг.