कर्पोरेट फायरवालले VPN भित्र के देख्न सक्छ र के देख्न सक्दैन

उही ल्यापटप घरबाट VPN मा पुग्छ र अफिसबाट जोडिन सक्दैन, त्यसैले कसैले ट्राफिक पढिरहेको छ। अवरोध गर्नु र पढ्नु अलग अधिकार हुन्, र दोस्रोलाई मात्र मार्गमा ठाउँ र ग्राहकले विश्वास गर्ने प्रमाणपत्र चाहिन्छ। तपाईंको ह्यान्डशेक फाल्ने बीचको बाकसले तपाईंले पठाउने कुराबारे केही सिकेन। यी दुईमध्ये कुनसँग सामना गर्दै हुनुहुन्छ भन्ने निर्णय गर्नु नै सम्पूर्ण काम हो।

अवरोध गर्नु र पढ्नु फरक अधिकार हुन्

अस्वीकार सस्तो र हल्लाखल्ला हुने हुन्छ: सकेट खुल्छ र केही जवाफ दिँदैन, वा तुरुन्तै रिसेट आउँछ। तीमध्ये कुनै पनि जाँचको अर्थ राख्दैन, किनकि कुनै पेलोड तारबाट गएन।

पढ्नका लागि सुरक्षा अन्त्य गर्ने, प्रमाणपत्रद्वारा आफूलाई प्रमाणित गर्ने र अगाडि नयाँ जडान सुरु गर्ने अन्त्यबिन्दु चाहिन्छ। त्यो बिन्दु मार्गमा हुनुपर्छ र ग्राहकले विश्वास गर्नुपर्छ। केवल प्याकेट अगाडि पठाउने फायरवालसँग न स्थान छ न प्रमाणपत्र।

आवरणले निःशुल्क के दिन्छ

हरेक सुरुङ प्याकेटको बाहिरी भाग हुन्छ, र बाहिरी भाग मार्गनिर्देशित हुनुपर्छ। यसको अर्थ दुई ठेगाना, एक प्रोटोकल, एक पोर्ट र लम्बाइ, साथै समय र मात्रा। कुनै पनि राउटरले ती फिल्ड पहिले नै सम्हाल्छ, र NAT ले आफ्नो म्यापिङ तालिका एकरूप राख्न ठेगाना र पोर्ट पुनःलेखन गर्छ। पेलोड सिलबन्द रहन्छ, त्यसैले अवलोकन दुई होस्टबीच सुरुङ छ भन्ने तथ्यमा रोकिन्छ।

होस्टनाम तिनमा छैन। साइटहरू अरू ढोकाबाट चुहिन्छन्, र सबैभन्दा फराकिलो DNS हो: यदि ल्यापटपले अझै स्थानीय रिजोल्भरलाई सोध्छ भने, नामहरू खुला रूपमा देखिन्छन्।

समय र मात्रा अतिशयोक्ति बिना आदरयोग्य छन्। प्रति मिनेट बाइट ले 14:20 मा ठूलो स्थानान्तरण सुरु हुन्छ भनी देखाउन सक्छ; कुन फाइल सर्यो भनी देखाउन सक्दैन। त्यो व्यवहारबारे वास्तविक खुलासा हो, र सामग्री पढ्नुभन्दा फरक श्रेणी।

TLS अवरोधका लागि तपाईंले पहिले नै विश्वास गर्ने मूल चाहिन्छ

जाँच गर्ने यन्त्रले TLS तोड्दैन; यसलाई अन्त्य गर्छ। ग्राहकलाई संस्थाको स्वामित्वको मूलबाट प्रमाणपत्रले जवाफ दिन्छ, र दोस्रो जडान वास्तविक गन्तव्यमा जान्छ। ग्राहकले यो स्वीकार्छ किनकि त्यो मूल उसको विश्वास भण्डारमा छ, त्यसैले व्यवस्थापित ल्यापटपले कुनै चेतावनी देखाउँदैन। क्रिप्टोग्राफी कहिल्यै पराजित भएन; अन्त्यबिन्दु सारियो।

त्यसैले यो व्यवस्थाले प्रमाण छोड्छ। प्रस्तुत साङ्लोमा जारीकर्ता सार्वजनिक CA होइन, संस्थाको हो, र ग्राहकले विशेष उपकरण बिना त्यो देख्न सक्छ। आन्तरिक मूलमा अन्त्य हुने साङ्लो अवरोधको हस्ताक्षर हो, खराबी होइन।

VPN च्यानल HTTPS सत्र किन होइन

VPN डाटा च्यानलले जाँचकर्तालाई त्यस्तो टेको दिँदैन। IKEv2 र WireGuard ले आफ्नै ह्यान्डशेक र कुञ्जी तालिका चलाउँछन्, अन्त्य गर्न TLS छैन, जबकि OpenVPN ले आफ्नो नियन्त्रण च्यानलका लागि TLS परिमार्जित रूपमा उधारो लिन्छ, त्यसपछि डाटा आफ्नै तरिकाले सुरक्षित गर्छ। HTTPS का लागि बनेको प्रोक्सीले त्यो सत्रलाई आफूले पार्स गर्न सक्ने वस्तुका रूपमा चिन्दैन।

सत्र पार्स गर्न नसक्ने यन्त्रले पनि त्यसलाई फाल्न सक्छ। त्यसैले VPN अवरोध सामान्यतया प्रमाणपत्र चेतावनीजस्तो नभई समय समाप्तजस्तो देखिन्छ, र त्यसैले अपवादले केही बदल्दैन।

आफ्नै मेसिनबाट जाँच गर्नुहोस्

साइटले प्रस्तुत गर्ने साङ्लोबाट सुरु गर्नुहोस्। ब्राउजरको साइट विवरणले जारीकर्ता देखाउँछ, र आदेश लाइनले सारांश बिना त्यही जानकारी दिन्छ:

openssl s_client -connect example.com:443 -servername example.com

त्यसपछि काउन्टरद्वारा अस्वीकृत ह्यान्डशेकलाई फिल्टर गरिएको आन्तरिक ट्राफिकबाट अलग गर्नुहोस्। कुनै पनि ड्रप नियमअघि यातायात पोर्ट लग गर्नुहोस् र प्रयासपछि ती पढ्नुहोस्:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

बाहिरी सकेटमा कुनै लग लाइन नहुनुको अर्थ ह्यान्डशेक कहिल्यै बाहिर गएन, त्यसैले मार्गले सुरुङ अस्वीकार गर्दैछ। पूरा भएको ह्यान्डशेक र केही गन्तव्य मात्र असफल हुनुको अर्थ सुरुङ चल्छ र भित्रको नीति चल्दैन। दुवैमध्ये कुनै नतिजालाई पेलोडको एक बाइट पढ्न आवश्यक परेन।

वास्तवमा हुने पढाइ किनारामा छ: विभाजित सुरुङले आन्तरिक HTTPS कर्पोरेट प्रोक्सीलाई दिन्छ, र रोजगारदाताको स्वामित्वको केन्द्रक बाहिर निस्कँदा सबै खुला गर्छ। तपाईंले जे भेट्नुभए पनि, जडान बलपूर्वक गर्न प्रमाणपत्र प्रमाणीकरण बन्द नगर्नुहोस्, किनकि त्यही जाँचले जाँचलाई आक्रमणकारीबाट अलग गर्छ।