Ce poate și ce nu poate vedea un firewall corporativ în interiorul unei VPN

Același laptop ajunge la VPN de acasă și nu se poate conecta din birou, deci cineva trebuie să citească traficul. Blocarea și citirea sunt puteri separate, și doar a doua are nevoie de un punct pe traseu plus un certificat în care clientul are încredere. Un dispozitiv intermediar care aruncă handshake-ul tău nu a învățat nimic despre ce ai fi trimis. Să decizi cu care dintre cele două te confrunți este toată munca.

Blocarea și citirea sunt puteri diferite

Un refuz este ieftin și zgomotos: socketul se deschide și nimic nu răspunde, sau sosește imediat un reset. Nimic din toate acestea nu implică inspecție, pentru că nicio încărcătură nu a trecut prin fir.

Citirea cere un punct final care încheie protecția, se dovedește cu un certificat și deschide o conexiune nouă mai departe. Acel punct trebuie să stea pe traseu și să fie de încredere pentru client. Un firewall care doar redirecționează pachete nu are nici poziție, nici acreditare.

Ce oferă ambalajul gratis

Fiecare pachet de tunel are o exterior, iar exteriorul trebuie să fie rutabil. Asta înseamnă două adrese, un protocol, un port și o lungime, plus temporizare și volum. Orice router gestionează deja acele câmpuri, iar un NAT rescrie adresa și portul pentru a-și păstra coerent tabelul de mapare. Încărcătura rămâne sigilată, așa că observația se oprește la faptul că există un tunel între două gazde.

Un nume de gazdă nu se află printre ele. Site-urile scurg prin alte uși, iar cea mai largă este DNS: dacă laptopul întreabă încă resolverul local, numele apar în clar.

Temporizarea și volumul merită respect fără exagerare. Baiți pe minut pot arăta că un transfer mare începe la 14:20; nu pot arăta care fișier s-a mișcat. Aceasta este o dezvăluire reală despre comportament și o categorie diferită de citirea conținutului.

Interceptarea TLS are nevoie de o rădăcină în care deja ai încredere

Un aparat de inspecție nu sparge TLS; îl încheie. Clientul primește răspuns cu un certificat de la o rădăcină deținută de organizație, iar o a doua conexiune merge către destinația reală. Clientul acceptă asta pentru că rădăcina se află în magazinul său de încredere, motiv pentru care un laptop administrat nu afișează niciun avertisment. Criptografia nu a fost niciodată învinsă; punctul final a fost mutat.

De aceea aranjamentul lasă dovezi. Emitentul lanțului prezentat aparține organizației, nu unei CA publice, iar un client poate vedea asta fără instrumente speciale. Un lanț care se termină într-o rădăcină internă este semnătura interceptării, nu o defecțiune.

De ce un canal VPN nu este o sesiune HTTPS

Un canal de date VPN nu îi dă inspectorului un astfel de punct de sprijin. IKEv2 și WireGuard rulează propriile handshake-uri și scheme de chei, fără TLS de încheiat, în timp ce OpenVPN împrumută TLS pentru canalul său de control într-o formă modificată înainte de a proteja datele în felul său. Un proxy construit pentru HTTPS nu recunoaște acea sesiune ca ceva ce poate analiza.

Un aparat care nu poate analiza o sesiune o poate totuși arunca. De aceea blocarea VPN arată de obicei ca un timeout și nu ca un avertisment de certificat, și de aceea o excepție nu schimbă nimic.

Verificați de pe propria mașină

Începeți cu lanțul pe care îl prezintă site-ul. Detaliile site-ului din browser arată emitentul, iar linia de comandă raportează același lucru fără rezumat:

openssl s_client -connect example.com:443 -servername example.com

Apoi separați un handshake refuzat de traficul intern filtrat cu contoare. Înregistrați portul de transport înaintea oricărei reguli de eliminare și citiți-le după încercare:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Nicio linie de jurnal pe socketul exterior înseamnă că handshake-ul nu a plecat niciodată, deci traseul refuză tunelul. Un handshake finalizat cu doar unele destinații eșuând înseamnă că tunelul funcționează, iar politica din interior nu. Niciunul dintre rezultate nu a cerut citirea unui byte de încărcătură.

Citirea care chiar are loc stă la margini: un tunel divizat predă HTTPS intern unui proxy corporativ, iar un concentrator deținut de angajator expune totul la ieșire. Orice ați găsi, nu dezactivați verificarea certificatelor pentru a forța o conexiune, pentru că acea verificare este singurul lucru care separă inspecția de un atacator.