Bolehkah rangkaian menyekat VPN anda tanpa memecahkan penyulitan?

Tiada pengendali memerlukan kunci sesi untuk menghentikan terowong: buang paket di laluan dan ia gagal, sementara kriptografi kekal sesama kuat seperti yang dijanjikan reka bentuknya. Penyulitan melindungi apa yang dibawa perbualan, bukan kesediaan mana-mana rangkaian untuk membawanya. Memisahkan kedua-dua sifat itu menukar perdebatan tentang ketakbolehsekatan menjadi persoalan dasar mana yang berkuat kuasa dan sejauh mana ia sampai. Perbandingan di bawah memisahkan ketersediaan dan kerahsiaan, kerana kebanyakan dakwaan yakin tentang penyekatan VPN menggabungkan keduanya secara senyap.

Keboleheapaian ialah keputusan yang dibuat oleh laluan

Setiap pengangkutan bergantung pada laluan yang meneruskan paket, dan setiap persoalan dasar di sini bermuara pada keputusan penerusan itu. Peraturan yang membuang paket mengubah ketersediaan tanpa menyentuh kerahsiaan, dan begitulah terowong boleh disulitkan dengan sempurna dan sama sekali tidak boleh digunakan pada masa yang sama. Tiada apa dalam hasil itu memerlukan pemecahan sifer atau pemulihan kunci. Ia hanya memerlukan kawalan ke atas laluan.

Kekeliruan biasanya bermula apabila dua sifat berkongsi satu perkataan. Kriptografi kuat memberitahu siapa boleh membaca aliran; ia tidak berkata apa-apa tentang sama ada peranti perantaraan akan melepaskannya. Oleh itu dakwaan bahawa VPN tidak boleh disekat memerlukan dakwaan kedua di bawahnya, iaitu tiada sesiapa di laluan bersedia membuang paket.

Gaya penguatkuasaan dan harga setiap satu

Tiga gaya meliputi kebanyakan dasar sebenar, dan ia berbeza dari segi apa yang perlu diketahui, kos menjalankannya dan siapa lagi yang menderita. Setiap satu boleh menolak terowong tanpa menyahsulit apa-apa. Perbezaan itu penting kerana perkataan yang sama, penyekatan, digunakan untuk ketiga-tiganya.

Jadual itu ialah peta kos, bukan kedudukan. Senarai sekatan murah untuk dimulakan dan mahal untuk dikekalkan tepat; senarai kebenaran menukar penemuan dengan penyelenggaraan set yang dibenarkan, dan penutupan tidak memerlukan sebarang klasifikasi. Yang memisahkan mereka bukanlah kecanggihan teknikal tetapi di mana setiap satu meletakkan usaha berterusan. Dasar yang kelihatan mudah di atas kertas biasanya menyembunyikan baris penyelenggaraan di tempat lain.

Senarai sekatan terhad oleh seberapa baik alamat menamakan perkhidmatan

Senarai sekatan menolak destinasi yang telah dikenal pasti dan membiarkan yang lain tersedia secara umum. Untuk menguatkuasakannya diperlukan alamat dan port, bukan teks biasa, dan itulah yang menjadikannya murah untuk dikendalikan pada mulanya. Kos datang kemudian, kerana julat yang pernah mengenal pasti satu pembekal boleh kemudian menempatkan selusin penyewa yang tidak berkaitan. Setiap perubahan alamat memaksa penyuntingan senarai, dan setiap entri luput membawa trafik yang tidak bersalah bersamanya.

Ketepatan dalam model ini terhad oleh seberapa baik sesuatu destinasi mengenal pasti perkhidmatan, dan titik akhir kongsi yang sibuk ialah pengecam yang buruk. Ini had struktur, bukan kecacatan pelaksanaan, jadi alat yang lebih baik tidak menghapuskannya. Ia juga menjelaskan mengapa senarai sekatan cenderung berkembang: setiap titik akhir baharu kelihatan seperti penambahan kecil, dan kerosakan sampingan bertambah bersama senarai.

Senarai kebenaran memindahkan beban penyelenggaraan

Senarai kebenaran menyongsangkan lalai supaya hanya destinasi atau jenis trafik yang dipilih terlebih dahulu boleh melaluinya. Ia tidak perlu menyenaraikan setiap titik akhir yang dilarang, yang membantu apabila set terlarang itu besar atau berubah dengan cepat. Apa yang diperlukannya sebaliknya ialah takrifan yang diselenggara tentang apa yang dibenarkan, serta penguatkuasaan yang sepadan dengan takrifan itu.

Nombor port ialah titik lemah biasa dalam takrifan sedemikian. Membenarkan port tidak sama dengan mengenal pasti setiap aplikasi yang boleh menggunakannya, jadi senarai kebenaran berasaskan port sering menerima lebih daripada yang dimaksudkan penulisnya. Cap jari protokol mempunyai masalah yang sama dari sudut lain, kerana ia mengenal pasti bentuk trafik dan bukan niat. Senarai kebenaran kerana itu tidak semestinya lebih tepat daripada senarai sekatan; ia tepat tentang sesuatu yang lain.

Apa yang boleh dan tidak boleh disokong oleh satu pemerhatian

Sebarang dakwaan tentang penyekatan harus dibaca dengan empat soalan di tangan: rangkaian akses mana, destinasi mana, protokol mana dan tempoh pemerhatian mana. Kegagalan yang dilihat hari ini pada satu rangkaian mudah alih tidak berkata apa-apa tentang titik akhir yang sama esok dari rangkaian lain. Terowong yang pernah berjaya juga tidak berkata apa-apa tentang ketersediaan yang berterusan.

Bentuk kegagalan boleh diperhatikan sebelum anda berteori tentang puncanya. Tersekat senyap, penolakan segera dan set semula selepas bersambung menunjuk kepada gaya penguatkuasaan yang berbeza, dan dua arahan memisahkannya:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Tersekat yang berakhir dengan had masa mencadangkan pembuangan senyap, penolakan pantas mencadangkan peranti yang menolak di laluan, dan set semula selepas bersambung mencadangkan gangguan berkeadaan dan bukan laluan yang hilang. Tinjauan RFC 9505 tentang teknik penapisan menerangkan titik kawalan dan corak gangguan di sebalik bentuk tersebut. Namun tiada satu pun daripadanya memberitahu sejauh mana dasar itu terpakai. Kekekalan ialah dakwaan yang lebih kuat daripada keboleheapaian: titik akhir, perisian, dasar dan perkhidmatan yang dibenarkan semuanya berubah, jadi keberkesanan tanpa had memerlukan andaian tentang penguatkuasaan yang berterusan dan bukan senarai alamat yang dilihat pada satu ketika.