Poate o rețea să-ți blocheze VPN-ul fără a sparge criptarea?

Niciun operator nu are nevoie de o cheie de sesiune pentru a opri un tunel: aruncați pachetele pe cale și acesta eșuează, în timp ce criptografia rămâne exact atât de puternică pe cât a promis proiectul ei. Criptarea protejează ce transportă o conversație, nu disponibilitatea oricărei rețele de a o transporta. Separarea acestor două proprietăți transformă o dispută despre imposibilitatea blocării într-o întrebare despre ce politică este în vigoare și cât de departe ajunge. Comparația de mai jos ține disponibilitatea și confidențialitatea separate, pentru că majoritatea afirmațiilor încrezătoare despre blocarea VPN le contopesc în tăcere.

Accesibilitatea este o decizie pe care o ia calea

Fiecare transport depinde de o cale care transmite pachete, iar orice întrebare de politică aici se reduce la acea decizie de transmitere. O regulă care aruncă pachete schimbă disponibilitatea fără a atinge confidențialitatea, și exact așa un tunel poate fi impecabil criptat și complet inutilizabil în același moment. Nimic din acel rezultat nu cere spargerea unui cifru sau recuperarea unei chei. Cere doar control asupra căii.

Confuzia începe de obicei cu două proprietăți care împart un singur cuvânt. Criptografia puternică spune cine poate citi un flux; nu spune nimic despre dacă un dispozitiv intermediar îl va lăsa să treacă. De aceea afirmația că un VPN nu poate fi blocat are nevoie de o a doua afirmație dedesubt, anume că nimeni de pe cale nu este dispus să arunce pachetele.

Stiluri de aplicare și prețul fiecăruia

Trei stiluri acoperă majoritatea politicilor reale și diferă prin ce trebuie să știe, cât costă operarea lor și cine altcineva suferă. Fiecare dintre ele poate refuza un tunel fără a decripta nimic. Diferențele contează pentru că același cuvânt, blocare, este folosit pentru toate trei.

Tabelul este o hartă a costurilor, nu un clasament. O listă de blocare este ieftină la început și scumpă de menținut exactă; o listă de permisiuni schimbă descoperirea pe întreținerea mulțimii permise, iar o întrerupere nu are nevoie de nicio clasificare. Ceea ce le separă nu este rafinamentul tehnic, ci unde pune fiecare efortul continuu. O politică ce pare simplă pe hârtie are de obicei o linie de întreținere ascunsă în altă parte.

O listă de blocare este limitată de cât de bine numește o adresă un serviciu

O listă de blocare refuză destinațiile deja identificate și lasă restul în general disponibil. Pentru aplicarea ei sunt necesare adrese și porturi, nu text clar, și asta o face ieftină la operare la început. Costul vine mai târziu, pentru că un interval care cândva identifica un furnizor poate găzdui apoi o duzină de chiriași fără legătură. Fiecare schimbare de adresă impune o editare a listei, iar fiecare intrare învechită ia cu ea trafic nevinovat.

Precizia în acest model este limitată de cât de bine identifică o destinație un serviciu, iar un punct final partajat și aglomerat este un identificator slab. Este o limită structurală, nu un defect de implementare, așa că instrumentele mai bune nu o elimină. Explică și de ce listele de blocare tind să crească: fiecare punct final nou pare o mică adăugare, iar daunele colaterale cresc odată cu lista.

O listă de permisiuni mută povara întreținerii

O listă de permisiuni inversează implicitul, astfel încât trec doar destinațiile sau tipurile de trafic alese dinainte. Nu trebuie să enumere fiecare punct final interzis, ceea ce ajută când mulțimea interzisă este mare sau se schimbă repede. Are nevoie în schimb de o definiție întreținută a ceea ce este permis, plus o aplicare care corespunde acelei definiții.

Numerele de port sunt punctul slab obișnuit într-o astfel de definiție. A permite un port nu este același lucru cu a identifica fiecare aplicație care îl poate folosi, așa că o listă de permisiuni bazată pe porturi admite adesea mai mult decât intenționa autorul ei. Amprentele protocoalelor au aceeași problemă dintr-un alt unghi, pentru că identifică o formă de trafic și nu o intenție. O listă de permisiuni nu este, prin urmare, automat mai precisă decât una de blocare; este precisă în privința altceva.

Ce poate susține o singură observație și ce nu

Orice afirmație despre blocare ar trebui citită cu patru întrebări în mână: ce rețele de acces, ce destinații, ce protocoale și ce perioadă de observare. O defecțiune văzută azi într-o rețea mobilă nu spune nimic despre același punct final mâine dintr-o altă rețea. Nici un tunel care a funcționat o dată nu spune nimic despre o disponibilitate susținută.

Forma unei defecțiuni poate fi observată înainte de a teoretiza despre cauza ei. O blocare tăcută, un refuz imediat și o resetare după conectare indică stiluri de aplicare diferite, iar două comenzi le separă:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

O blocare care se termină în expirare sugerează aruncare tăcută, un refuz rapid sugerează un dispozitiv care refuză pe cale, iar o resetare după conectare sugerează interferență cu stare și nu o rută lipsă. Studiul RFC 9505 despre tehnicile de cenzură descrie punctele de control și tiparele de interferență din spatele acelor forme. Niciunul însă nu spune cât de larg se aplică politica. Permanența este o afirmație mai puternică decât accesibilitatea: punctele finale, software-ul, politicile și serviciile permise se schimbă toate, așa că o eficacitate nedeterminată are nevoie de presupuneri despre continuarea aplicării, nu de o listă de adrese văzute într-un singur moment.