VPN-utgangs-IP er ikkje prov på ein tunnel: kva tenarar ser

Nokon ber om ei teneste som berre VPN-brukarar kan nå, og den openberre implementasjonen er å tillate ei liste over utgangsadresser. Lista gjer noko reelt: ho avgrensar kven som kan kopla til. Ho provar ikkje at ein tunnel vart brukt, fordi adressa høyrer til den som driv utgangen, og den operatøren kan vidaresende trafikken til kven som helst. Gapet mellom desse utsegnene er heile designproblemet.

Tenaren ser éi adresse per tilkopling

Ei tilkopling kjem med ei kjeldeadresse og ein destinasjonsport, og det er alt nettverkslaget rapporterer. Når ein klient brukar ein tunnel, kjem pakkane som når lyttaren din, frå utgangen eller frå omsetjinga framfor han. Klienten si eiga adresse, vanlegvis privat, viser seg aldri. Ein brannmurregel skriven for LAN-området til klienten gjer derfor ingenting.

Alt etter den kjeldeadressa er applikasjonsdata, og applikasjonen kan berre stole på dei i den mon han autentiserer dei.

Test korleis utgangen din ser ut

Sjå på vegen frå begge endar før du skriv ein regel. Klienten sitt syn på utgangen sin og tenaren sitt syn på tilkoplinga er dei to fakta som tel.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Den første kommandoen rapporterer den offentlege adressa klienten framstår som, og det er verdien kvar tillatingsliste må innehalde. Den andre viser etablerte tilkoplingar på tenaren med peer-adressene deira, og det er det regelen faktisk vil matche. Viss dei to ikkje stemmer med den mentale modellen din, rett modellen før du redigerer policyen. Ein brannmur for ein skydatabase, ei tillatingsliste for ein applikasjon og ein lastbalansar kan kvar for seg sjå eit ulikt omsetjingslag.

Berre eitt av dei to utgangssetta kan listast

Det eine tilfellet kan kontrollerast i førespurnadsaugneblinken, det andre ikkje, noko som gjev svært ulike garantiar.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Den publiserte Tor-utgangslista kan hentast og samanliknast, avhengig av alderen på lista og eigen policy for kvar utgang, så ein avvisingsregel mot kjende utgangar kan handhevast og gjennomgåast. Det finst ikkje eit tilsvarande register for kommersielle VPN-ar. Adresser roterer, mange leverandørar publiserer ingenting, og ein tunnel kan køyre på ei leigd skyadresse som aldri har høyrt til ein VPN. Lista du set saman, er eit augeblinksbilete av observerte adresser, og å utvide ho til hostingområde legg til urelaterte arbeidslaster utan å leggje til prov.

Bruk adresser som policyinndata, ikkje som prov

Avgjer kva regelen er for. Ei nettverksavgrensing bør halde fram som smal, registrere den observerte adressa med dato og årsak, og gje legitime brukarar ein veg tilbake når utgangen deira endrar seg. Tilgangskontroll treng ein autentisert konto eller eit signert token, fordi berre desse bind ein førespurnad til ein identitet. Risikoscore kan bruke adressa som eitt upåliteleg signal, og godta dei falske positiva og blinde flekkane hennar. Å skrive regelen som ei produktavgjerd er ærleg; å skrive han som verifisering av at ein tunnel finst, er det ikkje.

Spegelførespurnaden, å finne att den verkelege adressa til brukaren bak ein VPN, mislukkast av same grunn: éi tilkopling ber éi adresse, og ei endring mellom økter er foreinleg med fleire forklaringar. Handsame den tidlegare verdien som historie, ikkje som sanning.