Корпорацийн firewall VPN-ийн дотор юу харж чадах, юу чадахгүй

Ижил зөөврийн компьютер гэрээс VPN-д хүрдэг ч оффисоос холбогдож чадахгүй байна, тэгэхээр хэн нэгэн урсгалыг уншиж байна. Хаах ба унших нь тусдаа эрх мэдэл бөгөөд зөвхөн хоёр дахь нь зам дээрх цэг болон клиентийн итгэдэг гэрчилгээг шаарддаг. Таны гар барилтыг хаядаг завсрын хайрцаг таны илгээх байсан зүйлийн талаар юу ч мэдээгүй. Энэ хоёрын алинтай тулгарч байгаагаа тодорхойлох нь бүх ажил юм.

Хаах ба унших нь өөр өөр эрх мэдэл

Татгалзах нь хямд бөгөөд чанга: сокет нээгдээд юу ч хариулахгүй, эсвэл тэр даруй дахин тохируулга ирнэ. Эдгээрийн аль нь ч шалгалт гэсэн үг биш, учир нь ямар ч ачаа утсаар гараагүй.

Уншихад хамгаалалтыг дуусгадаг, өөрийгөө гэрчилгээгээр баталдаг, цааш шинэ холболт эхлүүлдэг төгсгөлийн цэг хэрэгтэй. Тэр цэг зам дээр байх ёстой бөгөөд клиент түүнд итгэх ёстой. Зөвхөн пакет дамжуулдаг firewall-д байр суурь ч, итгэмжлэл ч байхгүй.

Бүрхүүл үнэгүй юу өгдөг

Туннелийн пакет бүр гадаад талтай бөгөөд гадаад тал нь маршрутлагдах ёстой. Энэ нь хоёр хаяг, протокол, порт, урт, мөн цаг хугацаа ба эзлэхүүн гэсэн үг. Аль ч маршрутлагч эдгээр талбарыг аль хэдийн боловсруулдаг бөгөөд NAT өөрийн буулгалтын хүснэгтийг тууштай байлгахын тулд хаяг, портыг дахин бичдэг. Ачаа битүүмжлэгдсэн хэвээр үлддэг тул ажиглалт хоёр хост хооронд туннель байна гэсэн баримтад зогсдог.

Хостын нэр тэдний дунд байхгүй. Сайтууд бусад хаалгаар гоожин гардаг бөгөөд хамгийн өргөн нь DNS: зөөврийн компьютер орон нутгийн шийдэгчээс асуусан хэвээр байвал нэрс ил тод харагдана.

Цаг хугацаа ба эзлэхүүн хэтрүүлэлгүйгээр хүндэтгэл хүлээх ёстой. Минутад байт том дамжуулалт 14:20-д эхэлж байгааг харуулж чадна; аль файл хөдөлснийг харуулж чадахгүй. Энэ нь зан төлөвийн тухай бодит илчлэлт бөгөөд агуулга уншихаас өөр ангилал.

TLS-ийн таслан сонсоход таны аль хэдийн итгэдэг үндэс хэрэгтэй

Шалгагч төхөөрөмж TLS-ийг эвддэггүй; түүнийг дуусгадаг. Клиентэд байгууллагын эзэмшдэг үндэснээс гэрчилгээ хариу өгч, хоёр дахь холболт жинхэнэ очих газар руу явна. Клиент үүнийг хүлээн зөвшөөрдөг шалтгаан нь тэр үндэс түүний итгэлийн санд байдаг, тиймээс удирдлагатай зөөврийн компьютер ямар ч анхааруулга харуулахгүй. Криптографийг хэзээ ч дийлээгүй; төгсгөлийн цэгийг зөөсөн.

Тиймээс энэ зохицуулалт нотолгоо үлдээдэг. Танилцуулсан гинжин дээрх гаргагч нь нийтийн CA биш, байгууллагад харьяалагддаг бөгөөд клиент үүнийг тусгай хэрэгсэлгүйгээр харж чадна. Дотоод үндэсээр төгсдөг гинж нь таслан сонсохын гарын үсэг, гэмтэл биш.

Яагаад VPN суваг нь HTTPS сесс биш

VPN-ийн өгөгдлийн суваг шалгагчид ийм тулгуур өгөхгүй. IKEv2 болон WireGuard өөрсдийн гар барилт, түлхүүрийн хуваарь гүйцэтгэдэг, дуусгах TLS байхгүй, харин OpenVPN хяналтын сувагтаа TLS-ийг өөрчилсөн хэлбэрээр зээлж, дараа нь өгөгдлийг өөрийн аргаар хамгаалдаг. HTTPS-д зориулж бүтээсэн прокси тэр сессийг задлан шинжилж чадах зүйл гэж хүлээн зөвшөөрдөггүй.

Сессийг задлан шинжилж чадахгүй төхөөрөмж түүнийг хаяж чадна. Тиймээс VPN хаалт нь ихэвчлэн гэрчилгээний анхааруулга биш, хугацаа дууссанаар харагддаг, тиймээс үл хамаарах зүйл юу ч өөрчлөхгүй.

Өөрийн машинаас шалгаарай

Сайтын танилцуулж буй гинжээр эхэл. Хөтчийн сайтын мэдээлэл гаргагчийг харуулдаг бөгөөд командын мөр хураангуйгүйгээр мөн адил мэдээлнэ:

openssl s_client -connect example.com:443 -servername example.com

Дараа нь тоолуураар татгалзсан гар барилтыг шүүсэн дотоод урсгалаас тусгаарла. Ямар ч хаях дүрмийн өмнө дамжуулалтын портыг бүртгэж, оролдлогын дараа унш:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Гадаад сокет дээр бүртгэлийн мөр байхгүй нь гар барилт хэзээ ч гарч байгаагүй гэсэн үг, тиймээс зам туннелиас татгалзаж байна. Гар барилт дууссан ч зөвхөн зарим очих газар бүтэлгүйтэж байгаа нь туннель ажиллаж, доторх бодлого ажиллахгүй байгааг илтгэнэ. Аль ч үр дүн ачааны нэг байтыг уншихыг шаардаагүй.

Бодитоор болж буй уншилт нь ирмэг дээр: хуваагдсан туннель дотоод HTTPS-ийг корпорацийн проксид даалгаж, ажил олгогчийн эзэмшлийн концентратор гарах гарц дээр бүгдийг ил гаргадаг. Юу ч олсон, холболтыг албадахын тулд гэрчилгээний шалгалтыг бүү унтраа, учир нь тэр шалгалт нь шалгалтыг халдлагачдаас тусгаарладаг цорын ганц зүйл юм.