ਕਾਰਪੋਰੇਟ ਫਾਇਰਵਾਲ VPN ਦੇ ਅੰਦਰ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ

ਉਹੀ ਲੈਪਟਾਪ ਘਰੋਂ VPN ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਅਤੇ ਦਫ਼ਤਰ ਤੋਂ ਕਨੈਕਟ ਨਹੀਂ ਹੋ ਸਕਦਾ, ਇਸ ਲਈ ਕੋਈ ਟ੍ਰੈਫਿਕ ਪੜ੍ਹ ਰਿਹਾ ਹੈ। ਰੋਕਣਾ ਅਤੇ ਪੜ੍ਹਨਾ ਵੱਖਰੀਆਂ ਸ਼ਕਤੀਆਂ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਦੂਜੀ ਨੂੰ ਰਸਤੇ ਉੱਤੇ ਇੱਕ ਥਾਂ ਅਤੇ ਕਲਾਇੰਟ ਦਾ ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟ ਚਾਹੀਦਾ ਹੈ। ਤੁਹਾਡਾ ਹੈਂਡਸ਼ੇਕ ਸੁੱਟਣ ਵਾਲਾ ਵਿਚਕਾਰਲਾ ਡੱਬਾ ਤੁਹਾਡੇ ਭੇਜਣ ਵਾਲੇ ਡੇਟਾ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਸਿੱਖਿਆ। ਇਨ੍ਹਾਂ ਦੋਹਾਂ ਵਿੱਚੋਂ ਤੁਹਾਡਾ ਸਾਹਮਣਾ ਕਿਸ ਨਾਲ ਹੈ, ਇਹ ਤੈਅ ਕਰਨਾ ਹੀ ਪੂਰਾ ਕੰਮ ਹੈ।

ਰੋਕਣਾ ਅਤੇ ਪੜ੍ਹਨਾ ਵੱਖਰੀਆਂ ਸ਼ਕਤੀਆਂ ਹਨ

ਇਨਕਾਰ ਸਸਤਾ ਅਤੇ ਸ਼ੋਰ ਭਰਿਆ ਹੁੰਦਾ ਹੈ: ਸਾਕਟ ਖੁੱਲ੍ਹਦਾ ਹੈ ਅਤੇ ਕੋਈ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ, ਜਾਂ ਤੁਰੰਤ ਰੀਸੈਟ ਆ ਜਾਂਦਾ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਜਾਂਚ ਦਾ ਅਰਥ ਨਹੀਂ ਰੱਖਦਾ, ਕਿਉਂਕਿ ਕੋਈ ਪੇਲੋਡ ਤਾਰ ਵਿੱਚੋਂ ਨਹੀਂ ਲੰਘਿਆ।

ਪੜ੍ਹਨ ਲਈ ਇੱਕ ਅਜਿਹਾ ਅੰਤ ਬਿੰਦੂ ਚਾਹੀਦਾ ਹੈ ਜੋ ਸੁਰੱਖਿਆ ਖ਼ਤਮ ਕਰੇ, ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਆਪਣੇ ਆਪ ਨੂੰ ਸਾਬਤ ਕਰੇ ਅਤੇ ਅੱਗੇ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਸ਼ੁਰੂ ਕਰੇ। ਉਹ ਬਿੰਦੂ ਰਸਤੇ ਉੱਤੇ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਦਾ ਭਰੋਸਾ ਹਾਸਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਸਿਰਫ਼ ਪੈਕਟ ਭੇਜਣ ਵਾਲੇ ਫਾਇਰਵਾਲ ਕੋਲ ਨਾ ਥਾਂ ਹੈ ਨਾ ਪ੍ਰਮਾਣਿਕਤਾ।

ਆਵਰਣ ਮੁਫ਼ਤ ਵਿੱਚ ਕੀ ਦੇ ਦਿੰਦਾ ਹੈ

ਹਰ ਟਨਲ ਪੈਕਟ ਦਾ ਇੱਕ ਬਾਹਰੀ ਹਿੱਸਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਬਾਹਰੀ ਹਿੱਸਾ ਰੂਟ ਹੋਣ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਸਦਾ ਮਤਲਬ ਦੋ ਪਤੇ, ਇੱਕ ਪ੍ਰੋਟੋਕਾਲ, ਇੱਕ ਪੋਰਟ ਅਤੇ ਲੰਬਾਈ, ਨਾਲ ਹੀ ਸਮਾਂ ਅਤੇ ਮਾਤਰਾ। ਕੋਈ ਵੀ ਰਾਊਟਰ ਪਹਿਲਾਂ ਹੀ ਉਹ ਖੇਤਰ ਸੰਭਾਲਦਾ ਹੈ, ਅਤੇ NAT ਆਪਣੀ ਮੈਪਿੰਗ ਸਾਰਣੀ ਇਕਸਾਰ ਰੱਖਣ ਲਈ ਪਤਾ ਅਤੇ ਪੋਰਟ ਮੁੜ ਲਿਖਦਾ ਹੈ। ਪੇਲੋਡ ਸੀਲਬੰਦ ਰਹਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਨਿਰੀਖਣ ਇਸ ਤੱਥ ਉੱਤੇ ਰੁਕ ਜਾਂਦਾ ਹੈ ਕਿ ਦੋ ਹੋਸਟਾਂ ਵਿਚਕਾਰ ਇੱਕ ਟਨਲ ਹੈ।

ਹੋਸਟਨਾਮ ਉਨ੍ਹਾਂ ਵਿੱਚ ਨਹੀਂ ਹੈ। ਸਾਈਟਾਂ ਹੋਰ ਦਰਵਾਜ਼ਿਆਂ ਤੋਂ ਲੀਕ ਹੁੰਦੀਆਂ ਹਨ, ਅਤੇ ਸਭ ਤੋਂ ਚੌੜਾ DNS ਹੈ: ਜੇ ਲੈਪਟਾਪ ਅਜੇ ਵੀ ਸਥਾਨਕ ਰਿਜ਼ੋਲਵਰ ਨੂੰ ਪੁੱਛਦਾ ਹੈ, ਤਾਂ ਨਾਮ ਖੁੱਲ੍ਹੇ ਵਿੱਚ ਦਿਸਦੇ ਹਨ।

ਸਮਾਂ ਅਤੇ ਮਾਤਰਾ ਅਤਿਕਥਨੀ ਤੋਂ ਬਿਨਾਂ ਸਤਿਕਾਰ ਦੇ ਯੋਗ ਹਨ। ਪ੍ਰਤੀ ਮਿੰਟ ਬਾਈਟ ਦੱਸ ਸਕਦੇ ਹਨ ਕਿ 14:20 ਵਜੇ ਵੱਡਾ ਟ੍ਰਾਂਸਫਰ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ; ਉਹ ਨਹੀਂ ਦੱਸ ਸਕਦੇ ਕਿ ਕਿਹੜੀ ਫਾਈਲ ਹਿਲੀ। ਇਹ ਵਿਵਹਾਰ ਬਾਰੇ ਅਸਲੀ ਖੁਲਾਸਾ ਹੈ, ਅਤੇ ਸਮੱਗਰੀ ਪੜ੍ਹਨ ਤੋਂ ਵੱਖਰੀ ਸ਼੍ਰੇਣੀ।

TLS ਅਟਕਾਅ ਲਈ ਉਹ ਜੜ੍ਹ ਚਾਹੀਦੀ ਹੈ ਜਿਸ ਉੱਤੇ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸਾ ਕਰਦੇ ਹੋ

ਜਾਂਚ ਕਰਨ ਵਾਲਾ ਯੰਤਰ TLS ਨਹੀਂ ਤੋੜਦਾ; ਇਹ ਇਸਨੂੰ ਖ਼ਤਮ ਕਰਦਾ ਹੈ। ਕਲਾਇੰਟ ਨੂੰ ਸੰਸਥਾ ਦੀ ਮਲਕੀਅਤ ਵਾਲੀ ਜੜ੍ਹ ਤੋਂ ਸਰਟੀਫਿਕੇਟ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਕਨੈਕਸ਼ਨ ਅਸਲ ਮੰਜ਼ਿਲ ਵੱਲ ਜਾਂਦਾ ਹੈ। ਕਲਾਇੰਟ ਇਹ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ ਉਹ ਜੜ੍ਹ ਉਸਦੇ ਭਰੋਸਾ ਭੰਡਾਰ ਵਿੱਚ ਹੈ, ਇਸ ਲਈ ਪ੍ਰਬੰਧਿਤ ਲੈਪਟਾਪ ਕੋਈ ਚੇਤਾਵਨੀ ਨਹੀਂ ਦਿਖਾਉਂਦਾ। ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਕਦੇ ਹਾਰੀ ਨਹੀਂ; ਅੰਤ ਬਿੰਦੂ ਹਿਲਾਇਆ ਗਿਆ।

ਇਸ ਲਈ ਇਹ ਪ੍ਰਬੰਧ ਸਬੂਤ ਛੱਡਦਾ ਹੈ। ਪੇਸ਼ ਕੀਤੀ ਚੇਨ ਉੱਤੇ ਜਾਰੀਕਰਤਾ ਸੰਸਥਾ ਦਾ ਹੈ, ਜਨਤਕ CA ਦਾ ਨਹੀਂ, ਅਤੇ ਕਲਾਇੰਟ ਵਿਸ਼ੇਸ਼ ਸਾਧਨਾਂ ਤੋਂ ਬਿਨਾਂ ਇਹ ਦੇਖ ਸਕਦਾ ਹੈ। ਅੰਦਰੂਨੀ ਜੜ੍ਹ ਉੱਤੇ ਖ਼ਤਮ ਹੋਣ ਵਾਲੀ ਚੇਨ ਅਟਕਾਅ ਦਾ ਦਸਤਖ਼ਤ ਹੈ, ਖਰਾਬੀ ਨਹੀਂ।

VPN ਚੈਨਲ HTTPS ਸੈਸ਼ਨ ਕਿਉਂ ਨਹੀਂ

VPN ਡੇਟਾ ਚੈਨਲ ਜਾਂਚਕਰਤਾ ਨੂੰ ਅਜਿਹਾ ਆਸਰਾ ਨਹੀਂ ਦਿੰਦਾ। IKEv2 ਅਤੇ WireGuard ਆਪਣੇ ਹੈਂਡਸ਼ੇਕ ਅਤੇ ਕੁੰਜੀ ਸ਼ਡਿਊਲ ਚਲਾਉਂਦੇ ਹਨ, ਖ਼ਤਮ ਕਰਨ ਲਈ TLS ਨਹੀਂ, ਜਦੋਂ ਕਿ OpenVPN ਆਪਣੇ ਨਿਯੰਤਰਣ ਚੈਨਲ ਲਈ TLS ਬਦਲੇ ਹੋਏ ਰੂਪ ਵਿੱਚ ਉਧਾਰ ਲੈਂਦਾ ਹੈ, ਫਿਰ ਡੇਟਾ ਨੂੰ ਆਪਣੇ ਢੰਗ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕਰਦਾ ਹੈ। HTTPS ਲਈ ਬਣਿਆ ਪ੍ਰੌਕਸੀ ਉਸ ਸੈਸ਼ਨ ਨੂੰ ਅਜਿਹੀ ਚੀਜ਼ ਵਜੋਂ ਨਹੀਂ ਪਛਾਣਦਾ ਜਿਸਨੂੰ ਉਹ ਪਾਰਸ ਕਰ ਸਕੇ।

ਜੋ ਯੰਤਰ ਸੈਸ਼ਨ ਪਾਰਸ ਨਹੀਂ ਕਰ ਸਕਦਾ ਉਹ ਇਸਨੂੰ ਸੁੱਟ ਵੀ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ VPN ਰੋਕ ਆਮ ਤੌਰ ਉੱਤੇ ਸਰਟੀਫਿਕੇਟ ਚੇਤਾਵਨੀ ਵਾਂਗ ਨਹੀਂ, ਸਗੋਂ ਸਮਾਂ ਖ਼ਤਮ ਹੋਣ ਵਾਂਗ ਦਿਸਦੀ ਹੈ, ਅਤੇ ਇਸ ਲਈ ਵਿਸ਼ੇਸ਼ ਛੋਟ ਕੁਝ ਨਹੀਂ ਬਦਲਦੀ।

ਆਪਣੀ ਮਸ਼ੀਨ ਤੋਂ ਜਾਂਚੋ

ਸਾਈਟ ਜੋ ਚੇਨ ਪੇਸ਼ ਕਰਦੀ ਹੈ ਉਸ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ। ਬ੍ਰਾਊਜ਼ਰ ਦੀ ਸਾਈਟ ਜਾਣਕਾਰੀ ਜਾਰੀਕਰਤਾ ਦਿਖਾਉਂਦੀ ਹੈ, ਅਤੇ ਕਮਾਂਡ ਲਾਈਨ ਸਾਰਾਂਸ਼ ਤੋਂ ਬਿਨਾਂ ਉਹੀ ਦੱਸਦੀ ਹੈ:

openssl s_client -connect example.com:443 -servername example.com

ਫਿਰ ਕਾਊਂਟਰਾਂ ਨਾਲ ਰੱਦ ਕੀਤੇ ਹੈਂਡਸ਼ੇਕ ਨੂੰ ਫਿਲਟਰ ਕੀਤੇ ਅੰਦਰੂਨੀ ਟ੍ਰੈਫਿਕ ਤੋਂ ਵੱਖ ਕਰੋ। ਕਿਸੇ ਵੀ ਡ੍ਰੌਪ ਨਿਯਮ ਤੋਂ ਪਹਿਲਾਂ ਟ੍ਰਾਂਸਪੋਰਟ ਪੋਰਟ ਲੌਗ ਕਰੋ ਅਤੇ ਕੋਸ਼ਿਸ਼ ਤੋਂ ਬਾਅਦ ਉਹ ਪੜ੍ਹੋ:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

ਬਾਹਰੀ ਸਾਕਟ ਉੱਤੇ ਕੋਈ ਲੌਗ ਲਾਈਨ ਨਾ ਹੋਣ ਦਾ ਮਤਲਬ ਹੈਂਡਸ਼ੇਕ ਕਦੇ ਬਾਹਰ ਨਹੀਂ ਗਿਆ, ਇਸ ਲਈ ਰਸਤਾ ਟਨਲ ਤੋਂ ਇਨਕਾਰ ਕਰ ਰਿਹਾ ਹੈ। ਪੂਰਾ ਹੋਇਆ ਹੈਂਡਸ਼ੇਕ ਅਤੇ ਸਿਰਫ਼ ਕੁਝ ਮੰਜ਼ਿਲਾਂ ਫੇਲ੍ਹ ਹੋਣ ਦਾ ਮਤਲਬ ਟਨਲ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਦੇ ਅੰਦਰ ਦੀ ਨੀਤੀ ਨਹੀਂ। ਦੋਹਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨਤੀਜੇ ਨੂੰ ਪੇਲੋਡ ਦਾ ਇੱਕ ਬਾਈਟ ਪੜ੍ਹਨ ਦੀ ਲੋੜ ਨਹੀਂ ਪਈ।

ਅਸਲ ਵਿੱਚ ਹੋਣ ਵਾਲੀ ਪੜ੍ਹਾਈ ਕੰਢਿਆਂ ਉੱਤੇ ਹੈ: ਵੰਡਿਆ ਟਨਲ ਅੰਦਰੂਨੀ HTTPS ਕਾਰਪੋਰੇਟ ਪ੍ਰੌਕਸੀ ਨੂੰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਮਾਲਕ ਦੀ ਮਲਕੀਅਤ ਵਾਲਾ ਕੇਂਦਰਕ ਬਾਹਰ ਨਿਕਲਦਿਆਂ ਸਭ ਕੁਝ ਖੋਲ੍ਹ ਦਿੰਦਾ ਹੈ। ਤੁਸੀਂ ਜੋ ਵੀ ਲੱਭੋ, ਕਨੈਕਸ਼ਨ ਜ਼ਬਰਦਸਤੀ ਕਰਨ ਲਈ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ ਬੰਦ ਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਉਹੀ ਜਾਂਚ ਜਾਂਚ ਨੂੰ ਹਮਲਾਵਰ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ।