Нийтийн прокси VPN-ээр дамжин хувийн эх сурвалжид хэрхэн хүрдэг

Вэбсайтыг туннелээр дамжуулан нийтлэх, хэрэглэгчдэд VPN хандалт өгөх нь нэг кабелийг хуваалцдаг хоёр өөр зохион байгуулалт юм. Эхнийх нь нийтийн урвуу прокси зочны хүсэлтийг хүлээн авч, туннелээр дамжуулан хэн ч шууд хүрч чадахгүй эх сурвалж руу дамжуулдаг. Хоёр дахьд хэрэглэгч програмыг огт хүртээмжтэй болохоос өмнө VPN-д нэгдэх ёстой. Эдгээр хоёр тайлбарыг холих нь хувийн backend эцэст нь нийтэд ил болох зам юм.

Диаграм дээр ижил харагддаг хоёр загвар

Ямар нэг зүйлийг сонгохын өмнө сумнуудыг зур. Нийтийн нийтлэлийн загвар хөтөчөөс прокси руу HTTPS-ээр, дараа нь проксиос эх сурвалж руу туннелээр явдаг бөгөөд эх сурвалж интернэтээс холболт хэзээ ч хүлээн авдаггүй. Зөвхөн VPN загвар клиентээс гарц руу явдаг бөгөөд програм зөвхөн тэр замын дотроос хүртээмжтэй. Хэрэглэгчийн зөөврийн компьютер програмтай нэг сүлжээнд байдаг бөгөөд энэ нь тэр загварын бүх утга юм.

Загварууд хэн баталгаажуулах, хаана баталгаажуулахаараа ялгаатай. Эхнийх нь прокси нь нийтийн орох хаалга бөгөөд ирсэн аливаа хүсэлтийг, тэр дундаа дайсагнасан хүсэлтийг, түүн дээр тохируулсан бодлогын дагуу дамжуулдаг. Хоёр дахьд хүртээмж өөрөө хаалга бөгөөд энэ нь бүдүүлэг боловч бодит хүлээн авалт юм.

TLS хаана зогсдог, тэгээд энэ нь үнэндээ юуг нотолдог

Хөтөч ба прокси хоорондын TLS тэр харайлтыг хамгаалж, хөтөчөд зочлохоор төлөвлөсөн сайтаа шалгах боломж олгодог. Хэрэв прокси TLS-ийг дуусгавал хүсэлт дамжуулагдахаас өмнө тэр процессын дотор уншигдах хэлбэрээр оршдог. Эх сурвалж руу хоёр дахь TLS сесс дараагийн харайлтыг хамгаалж, програмын төгсгөлийн цэгийг тусад нь шалгаж чадна. Аль ч сесс ямар хүн програмыг ашиглаж болохыг шийддэггүй. Прокси дээрх wildcard гэрчилгээ ч тэр хоёр дахь харайлтад хүрэхгүй.

Энэ бол хүмүүс шифрлэгдсэн гэдэг үгэнд хураангуулдаг хэсэг юм. Нууцлал, бүрэн бүтэн байдал, серверийн таних тэмдэг нь тээврийн шинж чанар; зөвшөөрөл нь програмын шийдвэр. Туннелийн ард байгаа хувийн хаяг нь хэн сокетод хүрч болохыг өөрчилдөг, харин хүрсний дараа хэн нэвтэрч болохыг биш.

Дамжуулсан толгойг зөвхөн проксиос итгэ

Клиентийн хаягаар бүртгэл хөтөлдөг эсвэл зөвшөөрөл олгодог програмууд ихэвчлэн прокси нэмдэг толгойг уншдаг. Тэр толгой бол зүгээр л текст тул эх сурвалжид шууд хүрч чадах бүхэн өөрийн хүссэн хаягыг шаардаж чадна. Эх сурвалжийг зөвхөн проксийн туннелийн хаяг холбогдож болохоор хязгаарлаж, програмыг зөвхөн тэр хаягаас толгойг хүлээн авахаар тохируул.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Хэрэв тэр хүсэлт прокси биш хостоос амжилттай болбол эх сурвалж үл тоомсорлох ёстой толгойд итгэж байна. Програмд хүрэхийн өмнө сонсогчийг зас. Татгалзал нь хуурамч хаяг агуулсан бүртгэлийн мөрөөс хамаагүй дээр үр дүн юм.

Эх сурвалжийг яг нэг газраас хүртээмжтэй байлга

Эх сурвалжийн сонсогчийг туннелийн хаягт уяж, эсвэл прокси руу галт ханаар хүрээлж, дараа нь үнэндээ юу сонсож байгааг батал. Wildcard холболтоор эхэлсэн үйлчилгээ хостод байгаа бүх интерфейс дээр холболт хүлээн авдаг, үүнд чи маршрутлагдахыг мартсан интерфейс ч багтана. Сонсголын хүснэгт бол үндсэн үнэн, чи хэрэглэхээр төлөвлөсөн тохиргооны файл биш. Хэрэв wildcard холболт санаатай бол түүнийг нарийсгах бүрэлдэхүүн хэсэг нь галт хана хэвээр байх ёстой.

ss -ltnp | grep -E ':(80|443)'

Удирдлагын интерфейсүүдэд мөн адил хяналт хий, санамсаргүй ил болох нь ихэвчлэн тэнд тохиолддог. Дараа нь хоёр загварыг тусад нь бич: проксигоор дамжсан нийтийн сайт, зөвхөн туннелээр хүртээмжтэй администрацийн интерфейс. Сервер VPN-ийн ард байна гэсэн өгүүлбэр эдгээрийн аль нэгийг ч хэлэхгүй.