Kva ein bedriftsbrannmur kan og ikkje kan sjå inne i ein VPN

Den same berbare maskina når VPN-en heimanfrå og får ikkje kopla til frå kontoret, så nokon må lese trafikken. Blokkering og lesing er skilde fullmakter, og berre den andre treng ein stad på vegen pluss eit sertifikat klienten stolar på. Ei mellomkasse som kastar handtrykket ditt, har ikkje lært noko om det du ville ha sendt. Å avgjere kva av dei to du står overfor, er heile jobben.

Blokkering og lesing er ulike fullmakter

Ei avvising er billeg og høglytt: sockelen opnar og ingenting svarar, eller ein reset kjem med ein gong. Ingenting av det tyder inspeksjon, fordi ingen nyttelast kryssa leidninga.

Lesing krev eit endepunkt som avsluttar vernet, provar seg med eit sertifikat og startar ei ny tilkopling vidare. Det endepunktet må liggje på vegen og vere stole på av klienten. Ein brannmur som berre sender pakkar vidare, har korkje posisjon eller legitimasjon.

Kva innpakkinga gjev bort gratis

Kvar tunnelpakke har ei utside, og utsida må vere rutbar. Det tyder to adresser, ein protokoll, ein port og ei lengd, i tillegg til tid og volum. Kvar ruter handterer allereie desse felta, og ein NAT skriv om adressa og porten for å halde mappetabellen konsekvent. Nyttelasta blir forsegla, så observasjonen stoppar ved at det finst ein tunnel mellom to vertar.

Eit vertsnamn er ikkje blant dei. Nettstader lek gjennom andre dører, og den breiaste er DNS: om den berbare framleis spør den lokale resolveren, viser namna seg i klartekst.

Tid og volum fortener respekt utan å bli overdrivne. Byte per minutt kan vise at ei stor overføring startar klokka 14:20; dei kan ikkje vise kva fil som flytta seg. Det er ei reell avsløring om åtferd, og ein annan kategori enn å lese innhald.

TLS-avlytting krev ei rot du allereie stolar på

Eit inspeksjonsapparat bryt ikkje TLS; det avsluttar det. Klienten får svar med eit sertifikat frå ei rot organisasjonen eig, og ei andre tilkopling går til den verkelege destinasjonen. Klienten godtek dette fordi rota ligg i tillitslageret, og derfor viser ei administrert berbar maskin inga åtvaring. Kryptografi vart aldri overvunnen; endepunktet vart flytta.

Det er òg derfor ordninga etterlèt spor. Utgjevaren på kjeda som blir presentert, høyrer til organisasjonen og ikkje ein offentleg CA, og ein klient kan sjå det utan spesialverktøy. Ei kjede som endar i ei intern rot, er signaturen på avlytting, ikkje ein feil.

Kvifor ein VPN-kanal ikkje er ei HTTPS-økt

Ein VPN-datakanal gjev ein inspektør ingen slik fotfeste. IKEv2 og WireGuard køyrer eigne handtrykk og nøkkelplanar, utan TLS å avslutte, medan OpenVPN låner TLS til kontrollkanalen i ei endra form før det verner data på sin eigen måte. Ein proxy bygd for HTTPS kjenner ikkje att den økta som noko han kan parse.

Eit apparat som ikkje kan parse ei økt, kan likevel kaste ho. Derfor ser VPN-blokkering vanlegvis ut som ei tidsavbrot og ikkje ei sertifikatåtvaring, og derfor endrar eit unntak ingenting.

Sjekk det frå di eiga maskin

Start med kjeda nettstaden presenterer. Nettstadsopplysningane i nettlesaren viser utgjevaren, og kommandolinja rapporterer det same utan sammendraget:

openssl s_client -connect example.com:443 -servername example.com

Skil så eit avvist handtrykk frå filtrert indre trafikk med teljarar. Logg transportporten før kvar einaste droppregel, og les dei etter forsøket:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Inga logglinje på den ytre sockelen tyder at handtrykket aldri gjekk ut, så vegen avviser tunnelen. Eit fullført handtrykk der berre nokre mål feilar, tyder at tunnelen verkar og at policyen inni ikkje gjer det. Ingen av resultata kravde å lese ein byte nyttelast.

Lesinga som faktisk skjer, sit i kantane: ein delt tunnel gjev intern HTTPS til ein bedriftsproxy, og ein konsentrator eigd av arbeidsgjevaren legg ved utgangen alt ope. Uansett kva du finn, ikkje slå av sertifikatstadfesting for å tvinge fram ei tilkopling, for den kontrollen er det einaste som skil inspeksjon frå ein åtakar.