Dirista iimaylka way guuldarraystaa marka VPN-ku xirmo: hel heerka

Iimaylka subaxdii oo dhan shaqaynayay wuu joogsadaa isla markii tunnel-ku kor u kaco, oo dareenka ugu horreeya waa in ereyga sirta ah dib loo qoro. Dareenkaas wuxuu dhaafaa su’aasha ka faa’iido badan: miyuu macmiilku gaadhay server-ka, oo miyuu gaadhay meel ku filan oo uu aqoonsiyo bixiyo? Waqti-dhaaf, khalad shahaado iyo jawaab diidmo waa saddex guuldarro oo kala duwan, oo kaliya tan saddexaad ayaa khuseeya akoonka. Mara heerarka si nidaamsan oo VPN-ku wuxuu noqonayaa doorsoome la tijaabin karo halkii uu ahaan lahaa tuhman la eedeeyo.

Heerka 1: kala saar guuldarrada ka hor inta aanad taaban aqoonsiyada

Akhri khaladka uu barnaamijku dhab ahaan soo saaray, ka dib ku rid mid ka mid ah saddexda dambiil. Waqti-dhaaf ama dib-u-dejin xiriir macnaheedu waa waddada TCP way guuldarraystay; khalad TLS ama shahaado macnaheedu waa waddadu shaqeysay oo gacan-qabsiga ma shaqeyn; jawaab SMTP oo kood leh macnaheedu waa server iimayl ayaa jawaabay oo go’aan gaadhay. Dambiil kastaa wuxuu tilmaamaa mas’uul kale.

Dambiilaha way mudan yihiin in la kala saaro, sababtoo ah sixidda ayaa is khilaafsan. Waqti-dhaafka dheereyntiisu wax faa’iido ah ma leh marka server-ku diido diraha, beddelka ereyga sirta ahna wax ma qabto marka waddada xiran tahay. Koodka jawaabtu waa caddaynta ugu qiimaha badan liiska, sababtoo ah wuxuu caddeeyaa in silsiladda gaadiidka oo dhan shaqeysay iyo in dhibaatadu tahay siyaasad ama aqoonsi. Kaydi qoraalka saxda ah, oo ay ku jiraan kood kasta oo xaalad ah oo la ballaariyay, ka hor inta aanad mar kale isku dayin.

Halkan ku joog haddii aadan ka soo saari karin guuldarrada VPN-ka dibaddiisa. Dhibaatada ka muuqata hal barnaamij oo hal mishiin ah wali ma aha dhibaato shabakadeed.

Heerka 2: xaqiiji barta ugu dambeysa iyo habka TLS

Gudbinta fariimaha waa adeeg u gaar ah, ma aha isla waxa gudbinta server-ilaa-server. Xaqiiji magaca martigeliyaha, dekedda iyo habka TLS ee dokumentiga bixiyaha ee gudbinta, sababtoo ah deked caan ah oo laga soo amaahday habayn iimayl kale ma aha caddayn. Dekedda 587 waxay filanaysaa salaam qoraal cad oo ay ku xigto STARTTLS, halka dekedda 465 ay filanayso TLS laga bilaabo byte-ka ugu horreeya.

openssl s_client -connect smtp.example.com:465 -servername smtp.example.com -quiet
openssl s_client -starttls smtp -connect smtp.example.com:587 -servername smtp.example.com -quiet
nc -vz smtp.example.com 587

Ka shaqaynta midda khaldan labada baaritaan waa isla khaladka uu macmiilku sameeyo marka loo habeeyay habka kale. Haddii baaritaanka TLS-ga dadban ku xannibmo 587, ama baaritaanka STARTTLS ku guuldarraysto 465, dekedda iyo habku isma eka. Hagaaji habka macmiilka halkii aad damin lahayd xaqiijinta shahaadada, taas oo khaladka habaynta u beddela xiriir aan la xaqiijin. Kala qaybintani way duugan tahay oo la habeeyay: TLS-ga dadban ee dekedda 465 waa nidaamka lagu sharraxay RFC 8314.

Khaladka shahaadada halkan waa macluumaad ma aha caqabad. Wuxuu magacaabaa aqoonsiga uu server-ku soo bandhigay iyo aqoonsiga uu macmiilku filayay, labadaba waa la hagaajin karaa iyada oo aan xiriirka la daciifin.

Heerka 3: isbarbar dhig waddooyinka iyada oo aan akoonka la beddelin

Hayso barta ugu dambeysa, akoonka iyo habaynta macmiilka oo joogto ah oo beddel waddada oo keliya. Hal mar u dir tunnel-ku hoos yahay iyo hal mar kor yahay, oo qor waddada iyo cinwaanka isha ee server-ku arki lahaa. Haddii guuldarrada ay raacdo waddada, waad go’doomisay; haddii ay raacdo mishiinka, ma aad go’doomin.

ip route get smtp.example.com
curl -v --ssl-reqd --url smtp://smtp.example.com:587 --user "$SMTP_USER" \
  --mail-from [email protected] --mail-rcpt [email protected] --upload-file msg.txt

Tunnel buuxa wuxuu beddelaa cinwaanka isha ee bixiyuhu arko, oo bixiyeyaasha qaarkood waxay ula dhaqmaan isha aan la aqoon si adag marka loo eego ereyga sirta aan la aqoon. Taasi waa go’aan siyaasadeed oo dhinacooda ah, oo waxay noqon kartaa liis cawl, xaddid xawaare ama xannibaad. Ha ka guud-qaadin hal bixiye oo dhan, oo ha u malayn in qaanuunka NAT ee maqan uu sharraxayo guuldarro kasta. Diiwaanka curl wuxuu muujinayaa heerka guuldarraystay xitaa marka diiwaanka barnaamijka laftiisu aanu muujin.

Haddii tunnel-ku ay tahay inuu qaado taraafikada internetka, hagiddiisa iyo siyaasaddiisa bixidda labadaba waa inay oggolaadaan meeshan. Tunnelka qaata waddooyinka gaarka ah oo keliya wuxuu xiriirka iimaylka ku reebaa waddada maxalliga ah, taas oo ah isbarbardhig kale.

Heerka 4: dir hal fariin aan waxyeello lahayn oo qor jawaabta

Hagaaji heerka guuldarraystay, ka dib soo gudbi hal fariin aan waxyeello lahayn isla barnaamijka halkii aad ka soo gudbin lahayd bogga webmail. Waxaad tijaabinaysaa waddada dirista barnaamijka laftiisa, oo ay ku jiraan habayntiisa kaydsan iyo habka TLS. Fadhi webmail ah waxba kama caddeeyo taas.

Qor jawaabta, dekedda, habka TLS iyo waddada aad isticmaashay, si qofka xiga uu natiijada u soo saari karo. Browser shaqeeya iyo calaamad VPN cagaar ah waa indho-indhayn ku saabsan waxyaabo kale. Haddii fariintu timaaddo, shaqada hadhay waa in habayntaas laga dhigo mid caadi ah mishiin kasta oo ka dira akoonkan.

Liiska hubinta wuu buuxaa marka aad sheegi karto heerka guuldarraystay, dekedda iyo habka TLS ee macmiilku isticmaalo, waddada fariintu martay iyo jawaabta uu server-ku soo celiyay. Afarta xaqiiqooyin waxay dhibaatada sanduuqa bixidda ee mugdiga ah u beddelaan isbeddel qof ku eegi karo.