د کارپوریټ فایر وال په VPN دننه څه لیدلی شي او څه نه شي لیدلی

هماغه لیپ ټاپ له کوره VPN ته رسیږي او له دفتر څخه نه شي نښلیدلی، نو یو څوک باید ترافیک لولي. بندول او لوستل جلا واکونه دي، او یوازې دوهم ته په لار کې یو ځای او د پیرودونکي باوري سند ته اړتیا ده. هغه منځنی بکس چې ستاسو لاس ورکول غورځوي، د هغه څه په اړه چې تاسو یې لیږلو، هېڅ نه دی زده کړی. دا فیصله چې له دې دواړو سره مخ یاست، ټول کار دی.

بندول او لوستل جلا واکونه دي

رد کول ارزانه او زورور دي: سوکیټ خلاصیږي او هېڅ ځواب نه ورکوي، یا سمدستي بیا تنظیم راځي. له دې هېڅ یو تفتیش نه مانا کوي، ځکه چې هېڅ بار د تار څخه نه دی تیر شوی.

لوستلو ته داسې پای ټکی پکار دی چې ساتنه پای ته ورسوي، ځان په سند ثابت کړي او بیا مخته نوی نښلون پیل کړي. هغه ټکی باید په لار کې وي او پیرودونکی پرې باور ولري. هغه فایر وال چې یوازې پاکټونه لیږدوي، نه ځای لري او نه اعتبار.

پوښ په وړیا توګه څه ورکوي

هر د تونل پاکټ یوه باندنۍ خوا لري، او باندنۍ خوا باید د لارې وړ وي. دا مانا دوه پته، یو پروتوکول، یو پورټ او یو اوږدوالی، سربېره پر هغې وخت او حجم. هر روټر دا ساحې لا دمخه سمبالوي، او NAT پته او پورټ بیا لیکي ترڅو خپله نقشه جدول سمه وساتي. بار مهر شوی پاتې کیږي، نو مشاهده په دې حقیقت بندېږي چې د دوو میزبانونو ترمنځ تونل شته.

د میزبان نوم په دوی کې نه دی. سایټونه له نورو دروازو څخه تویږي، او ترټولو پراخه DNS دی: که لیپ ټاپ لا هم له سیمه ییز حل کوونکي پوښتنه کوي، نومونه په ښکاره ډول ښکاري.

وخت او حجم پرته له مبالغې درناوي وړ دي. په دقیقه کې بایټ ښودلی شي چې لوی لیږد په 14:20 کې پیلېږي؛ نشي ښودلی چې کوم فایل وخوځېد. دا د چلند په اړه ریښتینی څرګندول دي، او له منځپانګې لوستلو څخه بېله کټګوري.

د TLS مداخلې ته داسې ریښه پکار ده چې تاسو لا پرې باور لرئ

تفتیش کوونکی اله TLS نه ماتوي؛ هغه پای ته رسوي. پیرودونکي ته د سازمان د ملکیت ریښې سند ځواب ورکوي، او دوهم نښلون ریښتیني منزل ته ځي. پیرودونکی دا مني ځکه چې هغه ریښه د هغه په باور ذخیره کې ده، له همدې کبله مدیریت شوی لیپ ټاپ هېڅ خبرداری نه ښیي. کریپټوګرافي هېڅکله نه وه ماتېدلې؛ پای ټکی وښویول شو.

له همدې کبله دا ترتیب شواهد پریږدي. د وړاندې شوې سلسلې صادروونکی د سازمان دی نه عامه CA، او پیرودونکی دا پرته له ځانګړو وسایلو لیدلی شي. هغه سلسله چې په داخلي ریښه پای ته رسیږي، د مداخلې لاسلیک دی، نه خرابي.

ولې د VPN چینل HTTPS غونډه نه ده

د VPN ډاټا چینل تفتیش کوونکي ته داسې تکیه نه ورکوي. IKEv2 او WireGuard خپل لاس ورکول او کیلي مهالوېش چلوي، پرته له TLS چې پای ته ورسيږي، پداسې حال کې چې OpenVPN د خپل کنټرول چینل لپاره TLS په بدله شوې بڼه پور اخلي، بیا ډاټا په خپله طریقه ساتي. هغه پروکسي چې د HTTPS لپاره جوړ شوی، هغه غونډه داسې شی نه پېژني چې هغه یې تحلیلولی شي.

هغه اله چې یوه غونډه نشي تحلیلولی، بیا هم کولی شي هغه وغورځوي. له همدې کبله د VPN بندول معمولاً د وخت پای ته رسېدو په څېر ښکاري نه د سند خبرداری، او له همدې کبله استثنا هېڅ نه بدلوي.

له خپل ماشین څخه یې وګورئ

له هغې سلسلې پیل وکړئ چې سایټ وړاندې کوي. په براوزر کې د سایټ توضیحات صادروونکی ښیي، او د لارښوونې کرښه له لنډیز پرته هماغه خبر ورکوي:

openssl s_client -connect example.com:443 -servername example.com

بیا د شمارونو په مرسته رد شوی لاس ورکول له فلټر شوي داخلي ترافیک څخه بېل کړئ. د هر غورځولو قانون دمخه د لیږد پورټ ثبت کړئ او له هڅې وروسته یې ولولئ:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

په بهرني سوکیټ کې د لاګ کرښې نه شتون مانا دا چې لاس ورکول هېڅکله نه دي وتلي، نو لاره تونل ردوي. بشپړ شوی لاس ورکول او یوازې ځینې منزلونه ناکامېدل مانا دا چې تونل کار کوي او د هغه دننه تګلاره نه. د دواړو پایلو څخه هیڅ یو هم د بار یو بایټ لوستلو ته اړتیا نه درلوده.

هغه لوستل چې واقعاً پیښیږي په څنډو کې دی: وویشل شوی تونل داخلي HTTPS کارپوریټ پروکسي ته ورکوي، او د کار ورکوونکي ملکیت مرکز له وتلو پر مهال هر څه ښکاره کوي. هر څه چې ومومئ، د نښلون د جبري کولو لپاره د سند تصدیق مه بندوئ، ځکه هغه تفتیش یوازینی شی دی چې تفتیش له بریدګر څخه بېلوي.