VPN एक्झिट IP हा बोगद्याचा पुरावा नाही: सर्व्हर काय पाहतात

कोणीतरी अशी सेवा मागतो जिथे फक्त VPN वापरकर्ते पोहोचू शकतात, आणि स्पष्ट अंमलबजावणी म्हणजे एक्झिट पत्त्यांच्या यादीला परवानगी देणे। यादी काहीतरी खरे करते: कोण जोडू शकते हे मर्यादित करते। बोगदा वापरला गेला हे ते सिद्ध करत नाही, कारण पत्ता एक्झिट चालवणाऱ्याचा आहे आणि तो ऑपरेटर कोणाचाही रहदारी पुढे पाठवू शकतो। या दोन विधानांमधील अंतर हीच संपूर्ण रचना समस्या आहे।

सर्व्हर प्रत्येक कनेक्शनला एक पत्ता पाहतो

कनेक्शन स्रोत पत्ता आणि लक्ष्य पोर्टसह येते, आणि नेटवर्क स्तर इतकेच कळवते। जेव्हा क्लायंट बोगदा वापरतो, तेव्हा तुमच्या श्रोत्यापर्यंत पोहोचणारे पॅकेट एक्झिटमधून किंवा त्यासमोरच्या भाषांतरातून येतात। क्लायंटचा स्वतःचा पत्ता, सहसा खाजगी, कधीही दिसत नाही। म्हणून क्लायंटच्या लॅन श्रेणीसाठी लिहिलेला फायरवॉल नियम काहीच करत नाही।

त्या स्रोत पत्त्यानंतरचे सर्व काही अनुप्रयोग डेटा आहे, आणि अनुप्रयोग त्यावर तेवढाच विश्वास ठेवू शकतो जेवढा तो त्याची प्रमाणित करतो।

तुमचा एक्झिट कसा दिसतो ते तपासा

नियम लिहिण्यापूर्वी दोन्ही टोकांकडून मार्ग पहा। क्लायंटचा स्वतःच्या एक्झिटबद्दलचा दृष्टिकोन आणि सर्व्हरचा कनेक्शनबद्दलचा दृष्टिकोन ही महत्त्वाची दोन तथ्ये आहेत।

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

पहिला आदेश क्लायंट ज्या सार्वजनिक पत्त्याने दिसतो तो कळवतो, आणि कोणत्याही परवानगी यादीत हे मूल्य असलेच पाहिजे। दुसरा सर्व्हरवरील स्थापित कनेक्शन त्यांच्या सहकारी पत्त्यांसह दाखवतो, आणि नियम प्रत्यक्षात याच्याशी जुळेल। जर दोन्ही तुमच्या मानसिक प्रतिकृतीशी जुळत नाहीत, तर धोरण संपादित करण्यापूर्वी प्रतिकृती दुरुस्त करा। क्लाउड डेटाबेस फायरवॉल, अनुप्रयोग परवानगी यादी आणि लोड बॅलेंसर प्रत्येकाला वेगळा भाषांतर स्तर दिसू शकतो।

दोन एक्झिट संचांपैकी फक्त एकच सूचीबद्ध करता येतो

एक प्रकरण विनंतीच्या क्षणी तपासता येते आणि दुसरे नाही, ज्यामुळे अगदी वेगळ्या हमी तयार होतात।

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

प्रकाशित Tor एक्झिट यादी मिळवता आणि तुलना करता येते, यादीचे वय आणि प्रत्येक एक्झिटच्या स्वतःच्या धोरणावर अवलंबून, म्हणून ज्ञात एक्झिटविरुद्ध नकार नियम अंमलात आणता येतो आणि पुनरावलोकन करता येतो। व्यावसायिक VPN साठी समतुल्य नोंदणी नाही। पत्ते फिरतात, अनेक पुरवठादार काहीही प्रकाशित करत नाहीत, आणि बोगदा कधीही कोणत्याही VPN चा नसलेल्या भाड्याने घेतलेल्या क्लाउड पत्त्यावर चालू शकतो। तुम्ही तयार करता ती यादी निरीक्षण केलेल्या पत्त्यांचा स्नॅपशॉट आहे, आणि ती होस्टिंग श्रेणींपर्यंत वाढवल्यास पुरावा न वाढवता असंबंधित कार्यभार वाढतो।

पत्त्यांचा धोरण इनपुट म्हणून वापर करा, पुरावा म्हणून नाही

नियम कशासाठी आहे ते ठरवा। नेटवर्क निर्बंध संकुचित राहिला पाहिजे, निरीक्षण केलेला पत्ता त्याच्या तारखेसह आणि कारणासह नोंदवला पाहिजे, आणि वैध वापरकर्त्यांना त्यांचा एक्झिट बदलल्यास पुनर्प्राप्तीचा मार्ग दिला पाहिजे। प्रवेश नियंत्रणासाठी प्रमाणित खाते किंवा स्वाक्षरी केलेले टोकन आवश्यक आहे, कारण तेच विनंती ओळखीशी बांधतात। जोखीम गुणांकन पत्त्याचा एक अविश्वसनीय संकेत म्हणून वापर करू शकते, त्याचे खोटे सकारात्मक आणि अंध ठिपके स्वीकारून। नियम उत्पादन निर्णय म्हणून लिहिणे प्रामाणिक आहे; बोगदा अस्तित्वात आहे याच्या पडताळणी म्हणून लिहिणे नाही।

आरसा विनंती, म्हणजे VPN मागील वापरकर्त्याचा खरा पत्ता पुनर्प्राप्त करणे, त्याच कारणामुळे अयशस्वी होते: एक कनेक्शन एक पत्ता वाहून नेते, आणि सत्रांमधील बदल अनेक स्पष्टीकरणांशी सुसंगत आहे। पूर्वीच्या मूल्याकडे इतिहास म्हणून पहा, सत्य म्हणून नाही।