Onion-teneste kontra VPN-teneste: ulike tilgangsmodellar

Folk skildrar ei Onion-teneste og ei teneste som berre blir nådd via VPN som to variantar av same idé: skjul porten, del den hemmelege adressa. Dei skil seg i kva adressa er knytt til, kven som kan nå henne, og kva som må skje før ein førespurnad kjem. Den eine er ein møtestad inne i Tor, den andre er ei rute inne i eit privat nettverk. Å handsame dei som utskiftbare gir design som korkje er private eller vedlikehaldseigna.

Myten: begge designa er berre ei skjult dør

Den felles eigenskapen er reell, men tynn: ingen av designa set administrasjonsgrensesnittet på ein direkte tilgjengeleg offentleg port. Alt etterpå går kvar sin veg. Ei Onion-adresse blir leidd ut frå nøkkelen til tenesta sjølv, så namnet er knytt til ein identitet; ei VPN-adresse er berre ei adresse i eit nettverk du er sleppt inn i. Det eine skjuler tenesta i eit overlag, det andre slepp deg inn i ein privat topologi. Å sjå det andre som eit synonym for det første er der forvirringa byrjar.

Ingen av eigenskapane er ein tryggleikskontroll for sjølve applikasjonen. Ein skjult stad lappar ikkje programvara bak han, og ei privat rute legg ikkje til autentisering på innloggingssida. Begge designa treng framleis dei eigne løyva til applikasjonen, og begge treng framleis nokon som er ansvarleg for oppdateringar og attoppretting.

Kva ei Onion-adresse faktisk peikar på

Ei Onion-adresse i versjon v3 kodar den offentlege nøkkelen til tenesta, og difor kan ingen velje ei adresse til ei teneste dei ikkje kontrollerer. Klienten koplar seg gjennom Tor til ein møtestad, og tenesta når same punktet frå si side; ingen vanleg utgangsnode ber den sambandet til tenesta. Namnet er ein identitet, ikkje ein DNS-oppføring.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Difor hjelper det ikkje å leggje til ei rute eller ein hosts-oppføring for eit onion-namn. Oppslaget er ikkje mekanismen; Tor-klienten og krinsane hans er det. Viss tenesta er meint for ei lita gruppe menneske, kan onion-klientautorisasjon krevje ein nøkkel før sambandet blir godteke, men det er framleis ikkje applikasjonsinnlogging. Å publisere adressa er òg ei medviten handling, sidan alle som lærer henne kan prøve eit samband med mindre du har avgrensa henne.

Stopp viss den einaste grunnen til onion-designet er å unngå å setje opp autentisering. Overlaget gir ikkje det, og du byggjer det uansett seinare.

Kva ei VPN-rute faktisk gir

Ein VPN slepp ein eining inn i eit nettverk og gir henne ei rute til ein gateway eller eit subnett. Tenesta bak den gatewayen ser ei adresse frå tunnelbassenget og nyttar den autorisasjonen ho har. Ruta seier ingenting om kven brukaren er; ho seier kvar pakkane kan gå.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Den modellen passar for ei kjend gruppe med administrerte einingar, fordi gatewayen kan handheve tilstanden til eininga og nettverket kan reviderast. Han passar dårleg for anonyme eller tilfeldige vitjande, som først måtte registrerast. Innlogginga til sjølve applikasjonen avgjer framleis kva ein tilkopla brukar kan lese. Å blande saman tilgjenge og løyve er korleis ein VPN til slutt gir eit heilt subnett til alle som kan kopie til.

Stopp viss publikum er ukjent eller endrar seg stadig. Å registrere framande i eit privat nettverk for å vise dei éi side er ei stor forplikting samanlikna med å publisere ei teneste.

Å velje mellom dei, og kva som blir det same

Vel onion-modellen når publikum er teknisk, tenesta ikkje må ha noka offentleg adresse i det heile, og du kan godta klientkrava til Tor. Vel VPN-modellen når publikum er ei definert gruppe som du administrerer einingane til og vil logge tilgangen hennar på nettverkslaget. Ingen av vala fjernar behovet for applikasjonsautentisering, lapping eller ein attopprettingsveg. Ingen av dei er automatisk meir privat i den forstanden som tel for brukarane dine.

Skriv i begge designa ned kven som kan nå tenesta, korleis dei blir identifiserte, og kva som skjer når eit innloggingsopplysning går tapt. Svaret for ei Onion-teneste omfattar klientautorisasjonsnøklane og sjølve adressa; svaret for ein VPN omfattar kontoen, eininga og gateway-policyen. Dette er ulike forteikningar, og berre éin av dei vil vere openberr for den neste administratoren.

Samanlikninga sluttar der applikasjonen byrjar. Ei skjult adresse og ei privat rute er transportval, og applikasjonen må framleis avgjere kva ein førespurnad får gjere. Hald desse avgjerdene i separate dokument, og ingen av designa vil stille overta arbeidet til den andre.