Shërbimi Onion kundrejt shërbimit VPN: modele të ndryshme aksesi

Njerëzit e përshkruajnë një shërbim Onion dhe një shërbim të arritshëm vetëm përmes VPN si dy variante të së njëjtës ide: fshih portën, ndaj adresën sekrete. Ato ndryshojnë në atë ku lidhet adresa, kush mund ta arrijë dhe çfarë duhet të ndodhë përpara se të mbërrijë një kërkesë. Njëra është një pikë takimi brenda Tor, tjetra është një rrugë brenda një rrjeti privat. Trajtimi i tyre si të këmbyeshme prodhon modele që nuk janë as private as të mirëmbajtshme.

Miti: të dy modelet janë thjesht një derë e fshehur

Vetia e përbashkët është e vërtetë por e hollë: asnjëri model nuk e vendos ndërfaqen administrative në një portë publike të arritshme drejtpërdrejt. Gjithçka tjetër ndahet. Një adresë Onion nxirret nga çelësi i vetë shërbimit, prandaj emri lidhet me një identitet; një adresë VPN është thjesht një adresë brenda një rrjeti ku ju kanë lejuar të hyni. Njëra e fsheh shërbimin brenda një shtrese mbivendosjeje, tjetra ju lejon të hyni në një topologji private. Pikërisht trajtimi i së dytës si sinonim i së parës është fillimi i konfuzionit.

Asnjëra prej këtyre vetive nuk është kontroll sigurie për vetë aplikacionin. Një vend i fshehur nuk e rregullon softuerin pas tij, dhe një rrugë private nuk i shton vërtetim faqes së hyrjes. Të dy modelet ende kanë nevojë për lejet e vetë aplikacionit, dhe të dy ende kanë nevojë për dikë përgjegjës për përditësimet dhe rikuperimin.

Ku tregon në të vërtetë një adresë Onion

Adresa Onion e versionit v3 kodon çelësin publik të shërbimit, prandaj askush nuk mund të zgjedhë një adresë për një shërbim që nuk e kontrollon. Klienti lidhet përmes Tor me një pikë takimi, dhe shërbimi arrin në të njëjtën pikë nga ana e tij; asnjë nyje dalëse e zakonshme nuk e mbart atë lidhje deri te shërbimi. Emri është identitet, jo regjistrim DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Prandaj shtimi i një rrugë ose i një zëri hosts për një emër onion nuk sjell asgjë. Kërkimi nuk është mekanizmi; klienti Tor dhe qarqet e tij janë mekanizmi. Nëse shërbimi është menduar për një grup të vogël njerëzish, autorizimi i klientit onion mund të kërkojë një çelës përpara se lidhja të pranohet, por kjo nuk është ende hyrje në aplikacion. Publikimi i adresës është gjithashtu një veprim i qëllimshëm, sepse kushdo që e mëson mund të provojë një lidhje nëse nuk e keni kufizuar.

Ndalni nëse arsyeja e vetme për modelin onion është shmangia e konfigurimit të vërtetimit. Shtresa e mbivendosjes nuk e ofron atë, dhe do ta ndërtoni gjithsesi më vonë.

Çfarë jep në të vërtetë një rrugë VPN

Një VPN e lejon një pajisje të hyjë në një rrjet dhe i jep një rrugë drejt një porte ose një nënrrjeti. Shërbimi pas asaj porte sheh një adresë nga pishina e tuneleve dhe zbaton autorizimin që ka. Rruga nuk thotë asgjë për atë kush është përdoruesi; thotë se ku mund të shkojnë paketat.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Ai model i shkon një grupi të njohur me pajisje të menaxhuara, sepse porta mund të imponojë gjendjen e pajisjes dhe rrjeti mund të auditohet. Nuk u shkon mirë vizitorëve anonimë ose të rastësishëm, të cilët do të duhej të regjistroheshin më parë. Hyrja e vetë aplikacionit ende vendos çfarë mund të lexojë një përdorues i lidhur. Ngatërrimi i arritshmërisë me lejen është mënyra se si një VPN përfundon duke i dhënë një nënrrjet të tërë kujtdo që mund të lidhet.

Ndalni nëse audienca është e panjohur ose ndryshon vazhdimisht. Regjistrimi i të huajve në një rrjet privat për t'u treguar një faqe është një angazhim i madh në krahasim me publikimin e një shërbimi.

Zgjedhja midis tyre dhe çfarë mbetet e njëjtë

Zgjidhni modelin onion kur audienca është teknike, shërbimi nuk duhet të ketë fare adresë publike dhe mund të pranoni kërkesat e klientit Tor. Zgjidhni modelin VPN kur audienca është një grup i përcaktuar, pajisjet e të cilit ju i menaxhoni dhe aksesin e të cilit dëshironi ta regjistroni në nivel rrjeti. Asnjëra zgjedhje nuk e heq nevojën për vërtetim të aplikacionit, për rregullime ose për një rrugë rikuperimi. Asnjëra nuk është automatikisht më private në kuptimin që ka rëndësi për përdoruesit tuaj.

Në të dy modelet, shkruani kush mund ta arrijë shërbimin, si identifikohet dhe çfarë ndodh kur humbet një kredencial. Përgjigjja për një shërbim onion përfshin çelësat e autorizimit të klientit dhe vetë adresën; përgjigjja për një VPN përfshin llogarinë, pajisjen dhe politikën e portës. Këto janë inventarë të ndryshëm, dhe vetëm njëri prej tyre do të jetë i dukshëm për administratorin e ardhshëm.

Krahasimi mbaron aty ku fillon aplikacioni. Një adresë e fshehur dhe një rrugë private janë zgjedhje transporti, dhe aplikacioni ende duhet të vendosë çfarë i lejohet një kërkese. Mbani ato vendime në dokumente të veçanta dhe asnjëri model nuk do ta marrë në heshtje punën e tjetrit.