कॉर्पोरेट फायरवॉल VPN च्या आत काय पाहू शकतो आणि काय पाहू शकत नाही

तोच लॅपटॉप घरून VPN पर्यंत पोहोचतो आणि कार्यालयातून जोडू शकत नाही, म्हणजे कोणीतरी रहदारी वाचत आहे. अडवणे आणि वाचणे वेगवेगळे अधिकार आहेत, आणि फक्त दुसऱ्याला मार्गावर जागा आणि क्लायंट विश्वास ठेवतो असे प्रमाणपत्र लागते. तुमचा हातमिळवणी फेकून देणारा मधला खोका तुम्ही काय पाठवले असते याबद्दल काहीही शिकला नाही. या दोघांपैकी तुमचा सामना कशाशी आहे हे ठरवणे हेच पूर्ण काम.

अडवणे आणि वाचणे वेगवेगळे अधिकार आहेत

नकार स्वस्त आणि मोठ्याने असतो: सॉकेट उघडते आणि काहीही उत्तर देत नाही, किंवा लगेच रीसेट येते. यातले काहीही तपासणी दर्शवत नाही, कारण कोणताही पेलोड तारेने पार गेला नाही.

वाचण्यासाठी संरक्षण संपवणारा, प्रमाणपत्राने स्वतःला सिद्ध करणारा आणि पुढे नवीन जोडणी सुरू करणारा टोकाचा बिंदू लागतो. तो बिंदू मार्गावर असावा आणि क्लायंट त्यावर विश्वास ठेवावा. फक्त पॅकेट पुढे पाठवणाऱ्या फायरवॉलकडे स्थानही नाही आणि अधिकृतताही नाही.

आवरण विनामूल्य काय देते

प्रत्येक बोगदा पॅकेटला बाहेरची बाजू असते, आणि बाहेरची बाजू मार्गनिर्देशित असावी. म्हणजे दोन पत्ते, एक प्रोटोकॉल, एक पोर्ट आणि लांबी, शिवाय वेळ आणि घनफळ. कोणताही राउटर ती क्षेत्रे आधीच हाताळतो, आणि NAT आपली मॅपिंग तक्ता सुसंगत ठेवण्यासाठी पत्ता आणि पोर्ट पुन्हा लिहितो. पेलोड सीलबंद राहतो, त्यामुळे निरीक्षण दोन होस्टमध्ये बोगदा आहे या वस्तुस्थितीवर थांबते.

होस्टनाव त्यात नाही. साइट्स इतर दारांतून गळतात, आणि सर्वात रुंद DNS आहे: लॅपटॉप अजूनही स्थानिक सोडवणाऱ्याला विचारत असेल तर नावे उघडपणे दिसतात.

वेळ आणि घनफळ अतिशयोक्तीशिवाय आदरास पात्र आहेत. प्रति मिनिट बाइट 14:20 ला मोठे हस्तांतरण सुरू होते हे दाखवू शकतात; कोणती फाइल हलली हे दाखवू शकत नाहीत. हे वर्तनाबद्दलचे खरे उघडकीकरण आहे, आणि सामग्री वाचण्यापेक्षा वेगळी श्रेणी.

TLS अडवणुकीसाठी तुम्ही आधीच विश्वास ठेवता असे मूळ लागते

तपासणी करणारे उपकरण TLS तोडत नाही; ते संपवते. क्लायंटला संस्थेच्या मालकीच्या मुळाचे प्रमाणपत्र उत्तर देते, आणि दुसरी जोडणी खऱ्या गंतव्याकडे जाते. क्लायंट हे स्वीकारतो कारण ते मूळ त्याच्या विश्वास साठवणीत आहे, म्हणून व्यवस्थापित लॅपटॉप कोणताही इशारा दाखवत नाही. गुप्तलेखन कधीही हरले नाही; टोकाचा बिंदू हलवला गेला.

म्हणूनच ही रचना पुरावे सोडते. मांडलेल्या साखळीवरील जारीकर्ता सार्वजनिक CA नाही तर संस्थेचा आहे, आणि क्लायंट विशेष साधनांशिवाय ते पाहू शकतो. अंतर्गत मुळावर संपणारी साखळी अडवणुकीची स्वाक्षरी आहे, बिघाड नाही.

VPN वाहिनी HTTPS सत्र का नाही

VPN डेटा वाहिनी तपासकाला असे आधार देत नाही. IKEv2 आणि WireGuard स्वतःचे हातमिळवणी आणि किल्ली वेळापत्रके चालवतात, संपवायचे TLS नसते, तर OpenVPN आपल्या नियंत्रण वाहिनीसाठी TLS बदललेल्या स्वरूपात घेते, नंतर डेटा स्वतःच्या पद्धतीने संरक्षित करते. HTTPS साठी बनवलेला प्रॉक्सी ते सत्र त्याला पार्स करता येणारी गोष्ट म्हणून ओळखत नाही.

सत्र पार्स करू न शकणारे उपकरण ते तरीही टाकून देऊ शकते. म्हणूनच VPN अडवणूक सहसा प्रमाणपत्र इशाऱ्यासारखी नाही तर कालबाह्यतेसारखी दिसते, आणि म्हणूनच अपवाद काहीही बदलत नाही.

तुमच्या स्वतःच्या मशीनवरून तपासा

साइट मांडते त्या साखळीपासून सुरुवात करा. ब्राउझरमधील साइट तपशील जारीकर्ता दाखवतात, आणि आज्ञा ओळ सारांशाशिवाय तेच सांगते:

openssl s_client -connect example.com:443 -servername example.com

नंतर काउंटरने नाकारलेली हातमिळवणी गाळलेल्या अंतर्गत रहदारीपासून वेगळी करा. कोणत्याही ड्रॉप नियमापूर्वी वाहतूक पोर्ट नोंदवा आणि प्रयत्नानंतर ते वाचा:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

बाहेरील सॉकेटवर कोणतीही लॉग ओळ नसणे म्हणजे हातमिळवणी कधीच बाहेर पडली नाही, त्यामुळे मार्ग बोगदा नाकारत आहे. पूर्ण झालेली हातमिळवणी आणि फक्त काही गंतव्ये अयशस्वी होणे म्हणजे बोगदा चालतो आणि आतील धोरण चालत नाही. दोन्हीपैकी कोणत्याही निकालाला पेलोडचा एक बाइट वाचण्याची गरज पडली नाही.

खरंतर होणारे वाचन कडांवर असते: विभाजित बोगदा अंतर्गत HTTPS कॉर्पोरेट प्रॉक्सीला देतो, आणि नियोक्त्याच्या मालकीचा केंद्रक बाहेर पडताना सर्व काही उघड करतो. तुम्हाला जे आढळले ते असो, जोडणी सक्तीने करण्यासाठी प्रमाणपत्र पडताळणी बंद करू नका, कारण तीच तपासणी तपासणीला हल्लेखोरापासून वेगळी करते.