څنګه یو عام پروکسي د VPN له لارې یو شخصي اصل ته رسیږي

د یوې وېبسایټ خپرول د یوې تونل له لارې او کاروونکو ته د VPN لاسرسي ورکول دوه بېلابېل ترتیبات دي چې یوه کیبل شریکوي۔ په لومړي کې، یو عام معکوس پروکسي د لیدونکي غوښتنه مني او هغه د تونل له لارې هغه اصل ته لیږي چې هیڅوک نشي کولی مستقیم هغې ته ورسیږي۔ په دویم کې، کاروونکی باید له VPN سره یوځای شي مخکې لدې چې غوښتنلیک په بشپړه توګه د لاسرسي وړ شي۔ دا دوه تشریحات سره ګډول هغه لار ده چې یو شخصي بیکاینډ په پای کې په عامه توګه افشا کیږي۔

دوه ماډلونه چې په یوه ډیاګرام کې ورته ښکاري

د هر څه د غوره کولو دمخه تیرونه وکاږئ۔ د عامې خپرونې ماډل له براوزر څخه پروکسي ته د HTTPS له لارې ځي، بیا له پروکسي څخه اصل ته د تونل له لارې ځي، او اصل هیڅکله د انټرنیټ څخه اړیکه نه مني۔ یوازې-VPN ماډل له کلاینټ څخه ګیټوې ته ځي، او غوښتنلیک یوازې د هغې لارې له دننه د لاسرسي وړ دی۔ د کاروونکي لپټاپ د غوښتنلیک په څیر په ورته شبکه کې ناست دی، او دا د هغه ماډل ټول هدف دی۔

ماډلونه په دې کې توپیر لري چې څوک تصدیق کوي او چېرته۔ په لومړي کې، پروکسي عامه ننوتل دي او هغه د هغې په اړه ترتیب شوې پالیسۍ تابع هر راغلی غوښتنه، حتی دښمنانه یې هم، لیږدوي۔ په دویم کې، د لاسرسي وړتیا پخپله دروازه ده، چې یو ناخالص خو ریښتینی منل دی۔

TLS چېرته درځي، او هغه واقعاً څه ثابتوي

د براوزر او پروکسي ترمنځ TLS هغه ټوپ خوندي کوي او براوزر ته اجازه ورکوي هغه سایټ تصدیق کړي چې د لیدنې اراده یې درلوده۔ که پروکسي TLS پای ته ورسوي، غوښتنه د لیږلو دمخه د هغه بهیر په دننه کې د لوستلو وړ بڼه کې شتون لري۔ دویم TLS ناسته اصل ته کولی شي بل ټوپ خوندي کړي او د غوښتنلیک پای ټکی جلا تصدیق کړي۔ هیڅ یوه ناسته نه ټاکي چې کوم انسان کولی شي غوښتنلیک وکاروي۔ په پروکسي باندې وایلډکارډ سند هم هغه دویم ټوپ ته نه غځیږي۔

دا هغه برخه ده چې خلک په انکرپټ شوې کلمه کې لنډوي۔ محرمانیت، بشپړتیا او د سرور هویت د لیږد ځانګړتیاوې دي؛ اجازه د غوښتنلیک پریکړه ده۔ د تونل شاته شخصي پته څوک کولی شي ساکټ ته ورسیږي هغه بدلوي، نه دا چې رسیدو وروسته څوک کولی شي ننوځي۔

یوازې له پروکسي څخه راغلو سرلیکونو ته باور وکړئ

هغه غوښتنلیکونه چې د کلاینټ پتې له مخې لاګ یا اجازه ورکوي معمولاً هغه سرلیک لولي چې پروکسي ورزیاتوي۔ هغه سرلیک یوازې متن دی، نو هر هغه څه چې مستقیم اصل ته ورسیږي کولی شي هر هغه پته ادعا کړي چې وغواړي۔ اصل محدود کړئ ترڅو یوازې د پروکسي تونل پته وکولی شي وصل شي، او غوښتنلیک ترتیب کړئ چې سرلیک یوازې له هغې پتې څخه ومني۔

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

که هغه غوښتنه له هغه کوربه څخه بریالۍ شي چې پروکسي نه دی، اصل هغه سرلیک ته باور کوي چې باید له پامه یې غورځولی وای۔ د غوښتنلیک له لمس کولو دمخه اوریدونکی سم کړئ۔ رد کول د جعلي پتې لرونکې لاګ کرښې څخه ډیر ښه پایله ده۔

اصل یوازې له یوې ځایه د لاسرسي وړ وساتئ

د اصل اوریدونکی د تونل پتې سره وتړئ یا یې د پروکسي په لور د اورپوټکي په مرسته محاصره کړئ، بیا تایید کړئ چې واقعاً څه اوریدل کیږي۔ هغه خدمت چې د وایلډکارډ تړاو سره پیل شي په هر هغه انټرفیس باندې اړیکې مني چې کوربه یې لري، په هغه انټرفیس کې هم چې هیر مو کړی و چې د لارښوونې وړ دی۔ د اوریدلو جدول بنسټیز حقیقت دی، نه هغه ترتیباتي فایل چې تاسو یې د پلي کولو اراده درلوده۔ که د وایلډکارډ تړاو قصداً وي، اورپوټکی بیا هم باید هغه برخه وي چې هغه تنګوي۔

ss -ltnp | grep -E ':(80|443)'

د مدیریت انټرفیسونو لپاره هم ورته بیاکتنه وکړئ، ځکه چې ناڅاپي افشا کول معمولاً هماغلته وي۔ بیا دواړه ماډلونه جلا ولیکئ: د پروکسي له لارې عامه سایټ، او د مدیریت انټرفیس چې یوازې د تونل له لارې د لاسرسي وړ دی۔ هغه جمله چې سرور د VPN شاته دی د دې هیڅ هم نه وایي۔