IP keluar VPN bukan bukti terowong: apa yang dilihat pelayan

Seseorang meminta perkhidmatan yang hanya boleh dicapai oleh pengguna VPN, dan pelaksanaan yang jelas ialah membenarkan senarai alamat keluar. Senarai itu melakukan sesuatu yang nyata: ia mengehadkan siapa yang boleh menyambung. Ia tidak membuktikan bahawa terowong digunakan, kerana alamat itu milik sesiapa yang mengendalikan keluar, dan pengendali itu boleh memajukan trafik sesiapa sahaja. Jurang antara kedua-dua kenyataan itu ialah keseluruhan masalah reka bentuk.

Pelayan melihat satu alamat bagi setiap sambungan

Sambungan datang dengan alamat sumber dan port destinasi, dan itulah semua yang dilaporkan lapisan rangkaian. Apabila klien menggunakan terowong, paket yang sampai ke pendengar anda datang dari keluar atau dari terjemahan di hadapannya. Alamat klien sendiri, biasanya peribadi, tidak pernah muncul. Oleh itu peraturan tembok api yang ditulis untuk julat LAN klien tidak melakukan apa-apa.

Segala-galanya selepas alamat sumber itu ialah data aplikasi, dan aplikasi hanya boleh mempercayainya setakat ia mengesahkannya.

Uji bagaimana keluar anda kelihatan

Lihat laluan dari kedua-dua hujung sebelum menulis peraturan. Pandangan klien tentang keluarnya dan pandangan pelayan tentang sambungan ialah dua fakta yang penting.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Perintah pertama melaporkan alamat awam yang klien muncul, dan itulah nilai yang mesti terkandung dalam mana-mana senarai benarkan. Yang kedua menunjukkan sambungan yang telah terbentuk pada pelayan bersama alamat rakan mereka, dan dengan itulah peraturan akan benar-benar sepadan. Jika kedua-duanya tidak sepadan dengan model mental anda, betulkan model itu sebelum menyunting dasar. Tembok api pangkalan data awan, senarai benarkan aplikasi dan pengimbang beban masing-masing boleh melihat lapisan terjemahan yang berbeza.

Hanya satu daripada dua set keluar boleh disenaraikan

Satu kes boleh diperiksa pada saat permintaan dan yang lain tidak, yang menghasilkan jaminan yang sangat berbeza.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Senarai keluar Tor yang diterbitkan boleh diambil dan dibandingkan, bergantung pada usia senarai dan dasar setiap keluar, jadi peraturan penolakan terhadap keluar yang diketahui boleh dikuatkuasakan dan disemak. Tiada daftar setara untuk VPN komersial. Alamat berputar, banyak pembekal tidak menerbitkan apa-apa, dan terowong boleh berjalan pada alamat awan sewaan yang tidak pernah menjadi milik VPN. Senarai yang anda susun ialah petikan alamat yang diperhatikan, dan memperluaskannya kepada julat pengehosan menambah beban kerja tidak berkaitan tanpa menambah bukti.

Gunakan alamat sebagai input dasar, bukan sebagai bukti

Tentukan untuk apa peraturan itu. Sekatan rangkaian harus kekal sempit, merekodkan alamat yang diperhatikan bersama tarikh dan sebabnya, dan memberi pengguna sah laluan pemulihan apabila keluar mereka berubah. Kawalan akses memerlukan akaun yang disahkan atau token bertandatangan, kerana hanya itu yang mengikat permintaan kepada identiti. Penilaian risiko boleh menggunakan alamat sebagai satu isyarat tidak boleh dipercayai, sambil menerima positif palsu dan titik butanya. Menulis peraturan sebagai keputusan produk adalah jujur; menulisnya sebagai pengesahan bahawa terowong wujud bukan.

Permintaan cermin, iaitu memulihkan alamat sebenar pengguna di belakang VPN, gagal atas sebab yang sama: satu sambungan membawa satu alamat, dan perubahan antara sesi konsisten dengan beberapa penjelasan. Anggap nilai terdahulu sebagai sejarah, bukan kebenaran.