A mund të bllokojë një rrjet VPN-në tuaj pa thyer kriptimin?

Asnjë operatori nuk i duhet një çelës sesioni për të ndaluar një tunel: hidhni paketat në shteg dhe ai dështon, ndërsa kriptografia mbetet saktësisht aq e fortë sa premtoi dizajni i saj. Kriptimi mbron atë që biseda mbart, jo gatishmërinë e çdo rrjeti për ta mbartur. Ndarja e këtyre dy vetive e kthen debatin mbi pamundësinë e bllokimit në një pyetje se cila politikë është në fuqi dhe deri ku shtrihet. Krahasimi më poshtë i mban disponueshmërinë dhe konfidencialitetin të ndara, sepse shumica e pretendimeve të sigurta mbi bllokimin e VPN-ve i shkrijnë ato pa e thënë.

Arritshmëria është një vendim i shtegut

Çdo transport varet nga një shteg që përcjell paketat, dhe çdo pyetje politike këtu reduktohet në atë vendim përcjelljeje. Një rregull që i hedh paketat ndryshon disponueshmërinë pa prekur konfidencialitetin, dhe pikërisht kështu një tunel mund të jetë i kriptuar pa të meta dhe plotësisht i papërdorshëm në të njëjtin çast. Asgjë në atë rezultat nuk kërkon thyerjen e një shifre ose rikuperimin e një çelësi. Kërkon vetëm kontroll mbi shtegun.

Konfuzioni zakonisht fillon kur dy veti ndajnë një fjalë. Kriptografia e fortë flet për atë se kush mund të lexojë një rrjedhë; nuk thotë asgjë nëse një pajisje e ndërmjetme do ta lejojë të kalojë. Prandaj pretendimi se një VPN nuk mund të bllokohet kërkon një pretendim të dytë nën të, domethënë se askush në shteg nuk është i gatshëm t'i hedhë paketat.

Stilet e zbatimit dhe çmimi i secilit

Tre stile mbulojnë shumicën e politikave reale, dhe ato ndryshojnë në atë që duhet të dinë, sa kushton funksionimi i tyre dhe kush tjetër vuan. Secili prej tyre mund të refuzojë një tunel pa dekriptuar asgjë. Dallimet kanë rëndësi sepse e njëjta fjalë, bllokim, përdoret për të tre.

Ajo tabelë është një hartë kostoje, jo një renditje. Një listë bllokimi është e lirë për t'u nisur dhe e shtrenjtë për t'u mbajtur e saktë; një listë lejeje e shkëmben zbulimin me mirëmbajtjen e grupit të lejuar, dhe një ndërprerje nuk kërkon fare klasifikim. Ajo që i ndan nuk është rafinimi teknik, por ku secila vendos përpjekjen e vazhdueshme. Një politikë që duket e thjeshtë në letër zakonisht ka një rresht mirëmbajtjeje të fshehur diku tjetër.

Një listë bllokimi kufizohet nga sa mirë një adresë emërton një shërbim

Një listë bllokimi refuzon destinacionet tashmë të identifikuara dhe lë pjesën tjetër përgjithësisht të disponueshme. Për zbatimin e saj nevojiten adresa dhe porta, jo tekst i thjeshtë, dhe kjo është ajo që e bën atë të lirë në fillim. Kostoja vjen më vonë, sepse një gamë që dikur identifikonte një ofrues mund të presë më pas një duzinë qiramarrësish të palidhur. Çdo ndryshim adrese detyron një redaktim liste, dhe çdo hyrje e vjetruar merr me vete trafik të pafajshëm.

Saktësia në këtë model kufizohet nga sa mirë një destinacion identifikon një shërbim, dhe një pikë fundore e ndarë dhe e zënë është identifikues i dobët. Ky është një kufi strukturor, jo një defekt zbatimi, prandaj mjetet më të mira nuk e heqin. Kjo shpjegon gjithashtu pse listat e bllokimit priren të rriten: çdo pikë e re fundore duket si një shtesë e vogël, dhe dëmi kolateral rritet me listën.

Një listë lejeje zhvendos barrën e mirëmbajtjes

Një listë lejeje e përmbys parazgjedhjen, që vetëm destinacionet ose llojet e trafikut të zgjedhura paraprakisht të mund të kalojnë. Nuk ka pse të rendisë çdo pikë fundore të ndaluar, gjë që ndihmon kur grupi i ndaluar është i madh ose ndryshon shpejt. Ajo që i duhet në vend të kësaj është një përkufizim i mirëmbajtur i asaj që lejohet, plus zbatim që përputhet me atë përkufizim.

Numrat e porteve janë pika e dobët e zakonshme në një përkufizim të tillë. Të lejosh një port nuk është e njëjta gjë si të identifikosh çdo aplikacion që mund ta përdorë, prandaj një listë lejeje e bazuar në porta shpesh pranon më shumë sesa synonte autori i saj. Gjurmët e protokollit kanë të njëjtin problem nga një kënd tjetër, sepse identifikojnë një formë trafiku dhe jo një qëllim. Prandaj një listë lejeje nuk është automatikisht më e saktë se një listë bllokimi; është e saktë për diçka tjetër.

Çfarë mund dhe çfarë nuk mund të mbështesë një vëzhgim i vetëm

Çdo pretendim mbi bllokimin duhet të lexohet me katër pyetje në dorë: cilat rrjete aksesi, cilat destinacione, cilat protokolle dhe cila periudhë vëzhgimi. Një dështim i parë sot në një rrjet celular nuk thotë asgjë për të njëjtën pikë fundore nesër nga një rrjet tjetër. As një tunel që funksionoi një herë nuk thotë asgjë për disponueshmëri të qëndrueshme.

Forma e një dështimi mund të vëzhgohet para se të teoricosh mbi shkakun e tij. Një ngecje e heshtur, një refuzim i menjëhershëm dhe një rivendosje pas lidhjes tregojnë stile të ndryshme zbatimi, dhe dy komanda i ndajnë ato:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Një ngecje që përfundon në skadim kohe sugjeron hedhje të heshtur, një refuzim i shpejtë sugjeron një pajisje refuzuese në shteg, dhe një rivendosje pas lidhjes sugjeron ndërhyrje me gjendje dhe jo një rrugë që mungon. Studimi RFC 9505 mbi teknikat e censurimit përshkruan pikat e kontrollit dhe modelet e ndërhyrjes pas atyre formave. Megjithatë, asnjë prej tyre nuk thotë sa gjerësisht zbatohet politika. Qëndrueshmëria është një pretendim më i fortë se arritshmëria: pikat fundore, software-i, politikat dhe shërbimet e lejuara ndryshojnë të gjitha, prandaj efektiviteti i pacaktuar kërkon supozime mbi vazhdimin e zbatimit dhe jo një listë adresash të parë në një çast.