Perkhidmatan Onion berbanding perkhidmatan VPN: model akses berbeza

Orang ramai menggambarkan perkhidmatan Onion dan perkhidmatan yang hanya boleh dicapai melalui VPN sebagai dua ragam idea yang sama: sembunyikan port, kongsi alamat rahsia. Kedua-duanya berbeza pada apa alamat itu terikat, siapa yang boleh mencapainya dan apa yang perlu berlaku sebelum permintaan tiba. Satu ialah tempat pertemuan di dalam Tor, satu lagi ialah laluan di dalam rangkaian peribadi. Melayan keduanya sebagai boleh ditukar ganti menghasilkan reka bentuk yang tidak peribadi dan tidak terpelihara.

Mitos: kedua-dua reka bentuk hanyalah pintu tersembunyi

Sifat bersama itu nyata tetapi nipis: tiada reka bentuk yang meletakkan antara muka pentadbir pada port awam yang boleh dicapai secara terus. Segala-galanya selepas itu berbeza. Alamat Onion diterbitkan daripada kunci perkhidmatan itu sendiri, jadi nama terikat pada identiti; alamat VPN hanyalah alamat di dalam rangkaian yang anda diterima masuk. Satu menyembunyikan perkhidmatan di dalam lapisan tindanan, satu lagi menerima anda ke topologi peribadi. Melihat yang kedua sebagai sinonim yang pertama ialah permulaan kekeliruan.

Tiada satu pun sifat itu menjadi kawalan keselamatan untuk aplikasi itu sendiri. Lokasi tersembunyi tidak menampal perisian di belakangnya, dan laluan peribadi tidak menambah pengesahan pada halaman log masuk. Kedua-dua reka bentuk masih memerlukan kebenaran aplikasi itu sendiri, dan kedua-duanya masih memerlukan seseorang yang bertanggungjawab atas kemas kini dan pemulihan.

Apa yang sebenarnya ditunjuk oleh alamat Onion

Alamat Onion versi v3 mengekod kunci awam perkhidmatan, sebab itu tiada siapa boleh memilih alamat untuk perkhidmatan yang tidak dikawalnya. Klien bersambung melalui Tor ke tempat pertemuan, dan perkhidmatan mencapai tempat yang sama dari sisinya; tiada nod keluar biasa membawa sambungan itu ke perkhidmatan. Nama ialah identiti, bukan rekod DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Sebab itu menambah laluan atau entri hosts untuk nama onion tidak memberi apa-apa faedah. Pencarian bukan mekanismenya; klien Tor dan litar-litarnya ialah mekanismenya. Jika perkhidmatan itu untuk sekumpulan kecil orang, kebenaran klien onion boleh meminta kunci sebelum sambungan diterima, tetapi itu masih bukan log masuk aplikasi. Menerbitkan alamat itu juga tindakan yang disengajakan, kerana sesiapa yang mempelajarinya boleh mencuba sambungan melainkan anda telah mengehadkannya.

Berhenti jika satu-satunya sebab reka bentuk onion ialah mengelak daripada menyediakan pengesahan. Lapisan tindanan tidak menyediakannya, dan anda akan membinanya kemudian juga.

Apa yang sebenarnya diberikan oleh laluan VPN

VPN menerima peranti ke dalam rangkaian dan memberinya laluan ke gateway atau subrangkaian. Perkhidmatan di belakang gateway itu melihat alamat daripada kumpulan terowong dan menggunakan kebenaran yang ada padanya. Laluan tidak menyatakan apa-apa tentang siapa pengguna; ia menyatakan ke mana paket boleh pergi.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Model itu sesuai untuk kumpulan yang dikenali dengan peranti terurus, kerana gateway boleh menguatkuasakan keadaan peranti dan rangkaian boleh diaudit. Ia tidak sesuai untuk pelawat tanpa nama atau sekali-sekala, yang perlu didaftarkan terlebih dahulu. Log masuk aplikasi itu sendiri masih menentukan apa yang boleh dibaca oleh pengguna yang bersambung. Mencampuradukkan ketercapaian dengan kebenaran ialah cara VPN akhirnya memberikan seluruh subrangkaian kepada sesiapa yang boleh bersambung.

Berhenti jika audiens tidak diketahui atau sentiasa berubah. Mendaftarkan orang asing ke dalam rangkaian peribadi untuk menunjukkan satu halaman ialah komitmen besar berbanding menerbitkan perkhidmatan.

Memilih antara kedua-duanya, dan apa yang kekal sama

Pilih model onion apabila audiens bersifat teknikal, perkhidmatan tidak boleh mempunyai alamat awam sama sekali, dan anda boleh menerima keperluan klien Tor. Pilih model VPN apabila audiens ialah kumpulan tertentu yang perantinya anda urus dan yang aksesnya anda mahu rekod pada lapisan rangkaian. Tiada pilihan yang menghapuskan keperluan pengesahan aplikasi, penampal atau laluan pemulihan. Tiada satu pun yang lebih peribadi secara automatik dalam erti kata yang penting kepada pengguna anda.

Dalam kedua-dua reka bentuk, catat siapa yang boleh mencapai perkhidmatan, bagaimana mereka dikenal pasti dan apa yang berlaku apabila kelayakan hilang. Jawapan untuk perkhidmatan onion merangkumi kunci kebenaran klien dan alamat itu sendiri; jawapan untuk VPN merangkumi akaun, peranti dan dasar gateway. Itu inventori yang berbeza, dan hanya satu daripadanya akan jelas kepada pentadbir seterusnya.

Perbandingan tamat di tempat aplikasi bermula. Alamat tersembunyi dan laluan peribadi ialah pilihan pengangkutan, dan aplikasi masih perlu memutuskan apa yang dibenarkan dilakukan oleh permintaan. Simpan keputusan itu dalam dokumen berasingan dan tiada satu pun reka bentuk akan menyerap kerja yang lain secara senyap.