Môže vám sieť zablokovať VPN bez toho, aby rozbila šifrovanie?
Šifrovanie chráni obsah, nie doručenie. Porovnajte blokovacie zoznamy, zoznamy povolených a odstávky a potom sa pýtajte, čo jediné pozorovanie skutočne dokáže podložiť.
Žiadny operátor nepotrebuje relačný kľúč na zastavenie tunela: zahoďte pakety na ceste a tunel zlyhá, pričom kryptografia zostane presne taká silná, akú sľuboval jej návrh. Šifrovanie chráni to, čo rozhovor nesie, nie ochotu ktorejkoľvek siete to niesť. Rozdelenie týchto dvoch vlastností mení spor o neblokovateľnosť na otázku, ktorá politika platí a ako ďaleko siaha. Porovnanie nižšie drží dostupnosť a dôvernosť oddelene, pretože väčšina sebavedomých tvrdení o blokovaní VPN ich ticho spája.
Dostupnosť je rozhodnutie, ktoré robí cesta
Každá preprava závisí od cesty, ktorá preposiela pakety, a každá otázka politiky sa tu redukuje na toto rozhodnutie o preposielaní. Pravidlo, ktoré zahadzuje pakety, mení dostupnosť bez toho, aby sa dotklo dôvernosti, a práve tak môže byť tunel bezchybne zašifrovaný a zároveň úplne nepoužiteľný. Nič na tomto výsledku nevyžaduje prelomenie šifry ani obnovenie kľúča. Vyžaduje len kontrolu nad cestou.
Zmatek zvyčajne začína tým, že dve vlastnosti zdieľajú jedno slovo. Silná kryptografia hovorí, kto môže čítať tok; nehovorí nič o tom, či ho medziľahlé zariadenie prepustí. Tvrdenie, že VPN sa nedá zablokovať, preto potrebuje pod sebou druhé tvrdenie, a to že nikto na ceste nie je ochotný pakety zahodiť.
Štýly presadzovania a cena každého z nich
Tri štýly pokrývajú väčšinu skutočných politík a líšia sa v tom, čo musia vedieť, koľko stojí ich prevádzka a kto ďalší trpí. Každý z nich môže tunel odmietnuť bez toho, aby čokoľvek dešifroval. Rozdiely sú dôležité, pretože to isté slovo, blokovanie, sa používa pre všetky tri.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Tá tabuľka je mapa nákladov, nie rebríček. Blokovací zoznam je lacný na začiatok a drahý na udržanie presnosti; zoznam povolených mení objavovanie za údržbu povoleného súboru a odstávka nepotrebuje žiadnu klasifikáciu. Neoddeľuje ich technická prepracovanosť, ale to, kam každý umiestňuje trvalé úsilie. Politika, ktorá na papieri vyzerá jednoducho, má zvyčajne niekde inde skrytý riadok údržby.
Blokovací zoznam je obmedzený tým, ako dobre adresa pomenúva službu
Blokovací zoznam odmieta už identifikované ciele a ostatné necháva všeobecne dostupné. Na jeho presadenie treba adresy a porty, nie otvorený text, a práve preto je spočiatku lacný na prevádzku. Náklad prichádza neskôr, pretože rozsah, ktorý kedysi označoval jedného poskytovateľa, môže neskôr hostiť desiatku nesúvisiacich nájomcov. Každá zmena adresy núti upraviť zoznam a každý zastaraný záznam so sebou berie nevinnú prevádzku.
Presnosť je v tomto modeli obmedzená tým, ako dobre cieľ identifikuje službu, a vyťažený zdieľaný koncový bod je slabý identifikátor. Je to štrukturálny limit, nie chyba implementácie, takže lepšie nástroje ho neodstránia. Vysvetľuje aj to, prečo blokovacie zoznamy majú tendenciu rásť: každý nový koncový bod vyzerá ako malý prírastok a vedľajšie škody rastú spolu so zoznamom.
Zoznam povolených presúva bremeno údržby
Zoznam povolených obracia predvolené nastavenie tak, že prejdú len vopred zvolené ciele alebo typy prevádzky. Nemusí vymenovať každý zakázaný koncový bod, čo pomáha, keď je zakázaný súbor veľký alebo sa rýchlo mení. Namiesto toho potrebuje udržiavanú definíciu povoleného plus presadzovanie, ktoré tejto definícii zodpovedá.
Čísla portov sú v takejto definícii obvyklým slabým miestom. Povoliť port nie je to isté ako identifikovať každú aplikáciu, ktorá ho môže použiť, takže zoznam povolených založený na portoch často prepustí viac, než jeho autor zamýšľal. Odtlačky protokolov majú ten istý problém z iného uhla, pretože identifikujú tvar prevádzky, nie úmysel. Zoznam povolených preto nie je automaticky presnejší ako blokovací; je presný ohľadne niečoho iného.
Čo jedno pozorovanie podloží a čo nie
Každé tvrdenie o blokovaní treba čítať so štyrmi otázkami v ruke: ktoré prístupové siete, ktoré ciele, ktoré protokoly a aké obdobie pozorovania. Zlyhanie videné dnes v jednej mobilnej sieti nehovorí nič o tom istom koncovom bode zajtra z inej siete. Tunel, ktorý raz fungoval, tiež nehovorí nič o trvalej dostupnosti.
Tvar zlyhania možno pozorovať skôr, než začnete teoretizovať o jeho príčine. Tiché zaseknutie, okamžité odmietnutie a reset po pripojení poukazujú na rôzne štýly presadzovania a dva príkazy ich oddeľujú:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comZaseknutie, ktoré sa skončí vypršaním času, naznačuje tiché zahadzovanie, rýchle odmietnutie naznačuje zariadenie odmietajúce na ceste a reset po pripojení naznačuje stavové zasahovanie, nie chýbajúcu trasu. Prieskum cenzúrnych techník RFC 9505 opisuje kontrolné body a vzorce zasahovania, ktoré stoja za týmito tvarmi. Žiadny z nich však nehovorí, ako široko politika platí. Trvalosť je silnejšie tvrdenie ako dostupnosť: koncové body, softvér, politiky i povolené služby sa všetky menia, takže neurčitá účinnosť vyžaduje predpoklady o pokračujúcom presadzovaní, nie zoznam adries videných v jednom okamihu.