Izhodni IP naslov VPN ni dokaz tunela: kaj vidijo strežniki

Nekdo prosi za storitev, do katere lahko dostopajo samo uporabniki VPN, in očitna izvedba je dovoliti seznam izhodnih naslovov. Seznam naredi nekaj resničnega: omejuje, kdo se lahko poveže. Ne dokazuje, da je bil uporabljen tunel, ker naslov pripada tistemu, ki upravlja izhod, in ta operater lahko posreduje promet kogarkoli. Razlika med tema trditvama je celoten problem zasnove.

Strežnik vidi en naslov na povezavo

Povezava prispe z izvornim naslovom in ciljnimi vrati, in to je vse, kar poroča omrežni sloj. Ko odjemalec uporabi tunel, prihajajo paketi, ki dosežejo vaš poslušalec, z izhoda ali iz prevoda pred njim. Naslov odjemalca samega, običajno zasebni, se nikoli ne pojavi. Pravilo požarnega zidu, napisano za obseg lokalnega omrežja odjemalca, zato ne naredi ničesar.

Vse za tem izvornim naslovom so podatki aplikacije, in aplikacija jim lahko zaupa le toliko, kolikor jih overi.

Preizkusite, kako izgleda vaš izhod

Oglejte si pot z obeh koncev, preden napišete pravilo. Pogled odjemalca na njegov izhod in pogled strežnika na povezavo sta dejstvi, ki štejeta.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Prvi ukaz poroča javni naslov, pod katerim se pojavi odjemalec, in to je vrednost, ki jo mora vsebovati vsak seznam dovoljenih. Drugi prikazuje vzpostavljene povezave na strežniku z njihovimi naslovi partnerjev, in s tem se bo pravilo res ujemalo. Če se oba ne ujemata z vašim miselnim modelom, popravite model, preden uredite politiko. Požarni zid oblačne zbirke podatkov, seznam dovoljenih aplikacije in razporejevalnik obremenitve lahko vsak vidi drugačen sloj prevoda.

Navesti je mogoče samo eno od dveh množic izhodov

En primer je mogoče preveriti v trenutku zahteve, drugega pa ne, kar daje zelo različna jamstva.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Objavljeni seznam izhodov Tor je mogoče pridobiti in primerjati, odvisno od starosti seznama in lastne politike vsakega izhoda, zato je pravilo zavrnitve znanih izhodov uveljavljivo in pregledno. Za komercialne VPN enakovrednega registra ni. Naslovi se vrtijo, mnogi ponudniki ničesar ne objavijo, in tunel lahko teče na najetem oblačnem naslovu, ki ni nikoli pripadal VPN. Seznam, ki ga sestavite, je posnetek opaženih naslovov, in njegova razširitev na gostiteljske razpone doda nepovezane obremenitve, ne da bi dodala dokaz.

Uporabljajte naslove kot vhod politike, ne kot dokaz

Odločite, čemu je pravilo namenjeno. Omrežna omejitev mora ostati ozka, zabeležiti opaženi naslov z datumom in razlogom ter dati zakonitim uporabnikom pot za obnovitev, ko se njihov izhod spremeni. Nadzor dostopa potrebuje overjen račun ali podpisan žeton, ker samo ta dva vežeta zahtevo na identiteto. Ocena tveganja lahko naslov uporabi kot en sam nezanesljiv signal, ob sprejemanju njegovih lažnih pozitivnih in slepih pik. Pravilo napisati kot produktno odločitev je pošteno; napisati ga kot preverjanje, da tunel obstaja, ni.

Zrcalna zahteva, pridobitev resničnega naslova uporabnika za VPN, spodleti iz istega razloga: ena povezava nosi en naslov, in sprememba med sejami je združljiva z več razlagami. Obravnavajte prejšnjo vrednost kot zgodovino, ne kot resnico.