Ali lahko omrežje blokira vaš VPN, ne da bi zlomilo šifriranje?
Šifriranje ščiti vsebino, ne dostave. Primerjajte blokirne sezname, sezname dovoljenih in izklope, nato vprašajte, kaj lahko eno opažanje resnično podpre.
Noben operater ne potrebuje sejnega ključa, da ustavi tunel: zavrzite pakete na poti in tunel ne uspe, medtem ko kriptografija ostane natanko tako močna, kot je obljubil njen načrt. Šifriranje ščiti to, kar pogovor nosi, ne pripravljenosti katerega koli omrežja, da ga nosi. Ločevanje teh dveh lastnosti spremeni razpravo o neblokirljivosti v vprašanje, katera politika velja in kako daleč sega. Primerjava spodaj drži razpoložljivost in zaupnost ločeno, ker večina samozavestnih trditev o blokiranju VPN ju tiho zlije.
Dosegljivost je odločitev poti
Vsak prenos je odvisen od poti, ki posreduje pakete, in vsako vprašanje politike se tukaj zvede na to odločitev o posredovanju. Pravilo, ki zavrže pakete, spremeni razpoložljivost, ne da bi se dotaknilo zaupnosti, in prav tako je lahko tunel brezhibno šifriran in hkrati popolnoma neuporaben. Nič v tem izidu ne zahteva zloma šifre ali obnovitve ključa. Zahteva le nadzor nad potjo.
Zmeda se običajno začne s tem, da si dve lastnosti delita eno besedo. Močna kriptografija govori o tem, kdo lahko bere tok; ne pove ničesar o tem, ali ga bo vmesna naprava spustila skozi. Zato trditev, da VPN ni mogoče blokirati, potrebuje pod sabo drugo trditev, in sicer da nihče na poti ni pripravljen zavreči paketov.
Slogi uveljavljanja in cena vsakega
Trije slogi pokrivajo večino resničnih politik in se razlikujejo po tem, kaj morajo vedeti, koliko stane njihovo delovanje in kdo drug trpi. Vsak od njih lahko tunel zavrne, ne da bi kar koli dešifriral. Razlike so pomembne, ker se ista beseda, blokiranje, uporablja za vse tri.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Ta tabela je zemljevid stroškov, ne razvrstitev. Blokirni seznam je poceni začeti in drag ohranjati natančnega; seznam dovoljenih zamenja odkrivanje za vzdrževanje dovoljenega niza, izklop pa ne potrebuje nobene klasifikacije. Ne loči jih tehnična prefinjenost, ampak to, kam vsak od njih postavi trajni napor. Politika, ki je na papirju videti preprosta, ima običajno nekje drugje skrito vrstico vzdrževanja.
Blokirni seznam je omejen s tem, kako dobro naslov poimenuje storitev
Blokirni seznam zavrne že prepoznane cilje, ostale pa pusti na splošno dosegljive. Za njegovo uveljavljanje so potrebni naslovi in vrata, ne golo besedilo, in prav to ga na začetku naredi poceni za delovanje. Stroški pridejo pozneje, ker lahko obseg, ki je nekoč označeval enega ponudnika, pozneje gosti ducat nepovezanih najemnikov. Vsaka sprememba naslova prisili urejanje seznama in vsak zastarel vnos s seboj odnese nedolžen promet.
Natančnost je v tem modelu omejena s tem, kako dobro cilj prepozna storitev, in zasedena skupna končna točka je slab identifikator. To je strukturna meja, ne pomanjkljivost izvedbe, zato je boljša orodja ne odpravijo. To tudi pojasnjuje, zakaj se blokirni seznami nagibajo k rasti: vsaka nova končna točka je videti kot majhen dodatek, stranska škoda pa raste s seznamom.
Seznam dovoljenih prenaša breme vzdrževanja
Seznam dovoljenih obrne privzeto nastavitev, tako da gredo lahko skozi le vnaprej izbrani cilji ali vrste prometa. Ni mu treba našteti vsake prepovedane končne točke, kar pomaga, ko je prepovedani niz velik ali se hitro spreminja. Namesto tega potrebuje vzdrževano definicijo dovoljenega in uveljavljanje, ki tej definiciji ustreza.
Številke vrat so običajna šibka točka v takšni definiciji. Dovoliti vrata ni isto kot prepoznati vsako aplikacijo, ki jih lahko uporabi, zato seznam dovoljenih, ki temelji na vratih, pogosto spusti skozi več, kot je njegov avtor nameraval. Prstni odtisi protokolov imajo isto težavo z drugega zornega kota, ker prepoznavajo obliko prometa in ne namena. Seznam dovoljenih torej ni samodejno natančnejši od blokirnega; natančen je glede nečesa drugega.
Kaj lahko eno opažanje podpre in kaj ne
Vsako trditev o blokiranju je treba brati s štirimi vprašanji v roki: katere dostopovne mreže, kateri cilji, kateri protokoli in katero obdobje opazovanja. Napaka, videna danes v enem mobilnem omrežju, ne pove ničesar o isti končni točki jutri iz drugega omrežja. Tudi tunel, ki je enkrat deloval, ne pove ničesar o trajni razpoložljivosti.
Obliko napake je mogoče opazovati, preden teoretizirate o njenem vzroku. Tiho obtičanje, takojšnja zavrnitev in ponastavitev po povezavi kažejo na različne sloge uveljavljanja, in dva ukaza jih ločita:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comObtičanje, ki se konča s potekom časa, kaže na tiho zavrženje, hitra zavrnitev na napravo, ki zavrača na poti, ponastavitev po povezavi pa na poseg s stanjem, ne na manjkajočo pot. Pregled cenzurnih tehnik RFC 9505 opisuje kontrolne točke in vzorce poseganja za temi oblikami. Noben pa ne pove, kako široko politika velja. Trajnost je močnejša trditev od dosegljivosti: končne točke, programska oprema, politike in dovoljene storitve se vse spreminjajo, zato nedoločena učinkovitost potrebuje predpostavke o nadaljnjem uveljavljanju in ne seznama naslovov, videnih v enem trenutku.