Орон нутгийн сүлжээ таны VPN-ээр дамжуулан юу харсаар байна

Хэн нэгэн VPN нь түүний урсгалыг нуудаг уу гэж асуух бүрт гурван ажиглагч нэг асуултад нэгддэг: түүний холбогдсон сүлжээ, түүний гар дахь машин, туннелийн оператор. Тус бүр өөр зүйл мэдэж, туннель тэдгээр үзэл бүрийг өөр аргаар өөрчилдөг. Эсрэг чиглэлд ажиллаж, дэвшүүлж буй мэдэгдлээс эхлэх нь тустай, учир нь шалгалтыг давах ёстой зүйл бол тэр мэдэгдэл юм. Танд аль мэдэгдэл хэрэгтэйг шийдэж, дараа нь багаж хэрэгслийг түүнтэй харьцуулна уу.

Эхний мэдэгдэл: хэн ч урсгалыг уншиж чадахгүй

Хамгийн нарийн мэдэгдлээс эхэл: ачаалал уншигдахгүй хэвээр үлддэг. Зам дээрх идэвхгүй ажиглагч TLS сессийн дотор харж чадахгүй тул туннель HTTPS аль хэдийн хэрэглэж буй сайтад бага зэрэг нэмдэг бөгөөд хоёр төгсгөлийн эсрэг юу ч нэмдэггүй. Энэ мэдэгдлийг төхөөрөмжийг удирдаж буй хүн эвддэг, учир нь шалгалтын прокси холболтыг дуусгаж, машины аль хэдийн итгэдэг үндэсээр дахин гарын үсэг зурдаг. Тиймээс гэрчилгээний гинжид үндсийг суулгасан байгууллагын нэр байсан ч цоож харагдаж байдаг.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS дээр тэр хоолой машины түлхүүрийн багцад байгаа гэрчилгээ бүрт нэг субъектийн мөрийг хэвлэдэг, цонх нээхгүйгээр, харин Windows дээр certutil -store Root certlm.msc графикаар харуулдаг ижил санг жагсаана. Сургууль, ажил олгогч эсвэл сүлжээний аюулгүй байдлын бүтээгдэхүүнд хамаарах үндэс нь хайх ёстой бичлэг юм. Нэгийг олох нь таслан сэргийлэх боломжтойг л нотолж, тэр нь болж байгааг нотлохгүй.

Үүний талаар та юу хийж болох нь техникийн бус, бодлогын асуудал юм. Өөрийн мэдэлд байхгүй тоног төхөөрөмжөөс профайл эсвэл шалгалтын үндсийг устгах нь ихэвчлэн хүлээн зөвшөөрөгдөх хэрэглээний гэрээг зөрчиж, удирдлагын систем үүнийг анзаарч дахин хэрэглэх хандлагатай байдаг тул төхөөрөмжийн эзэн таны урсгалыг уншихгүй байх шаардлага нь өөр тохиргоо биш, өөр төхөөрөмж шаарддаг.

Хоёр дахь мэдэгдэл: хэн ч хаашаа явж байгааг чинь хардаггүй

Очих газар нь илүү хүнд мэдэгдэл, учир нь хуудас ачаалагдахаас өмнө хоёр илчлэлт болдог. Асуулга нь систем ашиглахаар тохируулсан шийдвэрлэгч рүү явж, хариулт нь түүнийг зөөж буй сүлжээнд харагдана. Дараа нь TLS гар барилт нь хоёр төгсгөлд Encrypted Client Hello дэмжигдээгүй л бол хүссэн серверийн нэрийг ил задгай зөөдөг. Хоёр илчлэлтийн аль нь ч тайлалтыг агуулдаггүй тул туннель аль нэгэнд нь нөлөөлдөггүй.

resolvectl status | grep -A2 "Link"
nslookup example.com

Аль шийдвэрлэгч үнэхээр хэрэглэгдэж байгаа нь илрэлийг тодорхойлдог бөгөөд үүнийг маргахын оронд хэмжиж болно. Linux дээр resolvectl status холбоос бүрийн DNS серверүүдийг хэвлэдэг бөгөөд түүний гаралт сайтын шийдвэрлэгч хариулж байгаа эсэх, эсвэл тулгасан нь хариулж байгаа эсэхийг хэлдэг. Windows ижил асуултад nslookup example.com-аар хариулдаг бөгөөд түүний гаралтын эхний блок нь хариулсан DNS сервер юм.

Зөөврийн компьютер туннель босохоос өмнө сайтын шийдвэрлэгчээс асуух үед, эсвэл профайл орлуулах сервергүй ирж хуучин нь хэрэглэгдсээр байх үед администратор юуг ч тайлахгүйгээр хостын нэрсийг цуглуулсаар байна. Хөтөч дэх шифрлэгдсэн DNS нь тулгасан шийдвэрлэгчийг тойрч гардаг эсвэл бүрэн блоклогдож хаалттай байдлаар бүтэлгүйтдэг. Гарах оператор өөрийн талаас ижил нэрсийг хардаг. Тиймээс шийдвэрлэгчийг солих нь тэр илрэлийг туннелийн нийлүүлэгчээс холдуулдаггүй.

Гурав дахь мэдэгдэл: таны холбогдсоныг хэн ч мэдэхгүй

Гурав дахь мэдэгдэл бол туннель дэмжиж чадахгүй зүйл, учир нь пакетууд орон нутгийн сүлжээгээр дамждаг хэвээр. Тэр сүлжээ төгсгөлийн хаяг, ойролцоо хэмжээ, цаг хугацаа, нэг удаан үргэлжлэх шифрлэгдсэн сесс байгааг мэддэг бөгөөд энэ нь блоклох, хязгаарлах эсвэл зүгээр л анзаарахад хангалттай. Пакетыг уншиж чадахгүй галт хана ч түүнийг нэвтрүүлэхээс татгалзаж болно. Ажиглагдах нь хэн ч ажиглахгүй байхтай ижил биш: та ажиглагчийг зөөсөн, устгаагүй.

Хуваасан туннельчлал ба тулгасан замыг үл тоомсорлодог аливаа програм туннелийн гадна өмнөхтэй яг ижил харагдах урсгалуудыг үүсгэдэг. Чухам эдгээр урсгалыг болгоомжтой ажиглагч хамгийн түрүүнд анзаардаг бөгөөд клиентийн замналын хүснэгт аль очих газрыг хасаагүйг харуулдаг.

Нөгөө захын оператор тэр үзэмжийн толин тусгалыг эзэмшдэг: гарах хаяг, цаг хугацаа, хэмжээ, ихэвчлэн сайтуудын нэрс. Таны нийлүүлэгч харах цэг бүхий тал болдог бөгөөд энэ нь үл үзэгдэх байдлаас өөр хэлэлцээр юм. Итгэдэг нийлүүлэгчээ сонгох нь жинхэнэ шийдвэр; үр дүнг ажиглагдаагүй гэж нэрлэх нь тийм биш.

Танд аль мэдэгдэл хэрэгтэйг шийд

Клиентэд хүрэхээс өмнө шаардлагыг нэг мөрөнд бич: агуулгыг нуу, очих газрыг нуу, эсвэл огт холбогдсон эсэхийг нуу. Агуулгыг HTTPS болон туннель аль хэдийн шийдвэрлэдэг бол очих газруудад сайтын тоног төхөөрөмжийг бүрэн тойрч гарах шийдвэрлэгч, зам хэрэгтэй.

Гурав дахь шаардлага нь эвгүй нь, учир нь хаа нэгтээ ямар нэг зүйл харагдахуйц холбогдсон хэвээр байна, шифрлэгдсэн эсэхээс үл хамааран. Ямар ч клиентийн тохиргоо үүнийг өөрчлөхгүй. Шаардлага ба бодлого зөрвөл тэр зай нь бодлогын эзэнтэй хийх ярианы сэдэв, клиентийн сонголт биш. Үүнд хариулж чадах хүн бол бодлогыг бичсэн хүн.