Dy kërcime VPN me radhë: kush e sheh vërtet trafikun tuaj?

Çdo profil klienti emërton një server, kështu që nga vendi i përdoruesit ka një tunel dhe një vend ku mbaron mbrojtja. Ajo që ndodh pas asaj porte të parë është një vendim dizajni që klienti nuk e sheh kurrë, dhe dy modelet e zakonshme sillen shumë ndryshe nën inspektim. Në një zinxhir serik porta e parë dekripton dhe rikripton. Në një zinxhir të ndërlidhur heq një shtresë të jashtme dhe përcjell një tunel të brendshëm që nuk mund ta hapë. Numri i kërcimeve është i njëjtë në të dyja, prandaj ndryshimi duhet vizatuar dhe jo numëruar.

Filloni nga klienti dhe emërtoni të dy skajet

Filloni atje ku fillon përdoruesi, në profilin e lidhjes. Ai përmban një adresë të largët, një metodë vërtetimi dhe, kur modeli e mbështet, një listë rrugësh. Etiketoni atë tunel të jashtëm nga klienti te porta A dhe jepini adresa shembull: adresa e tunelit të klientit 10.77.0.2, ajo e A 10.77.0.1 dhe pika fundore publike e A 198.51.100.10, marrë nga diapazoni i dokumentacionit TEST-NET-2 që asgjë në shembull të mos mund të përplaset me një host të vërtetë.

Asgjë në atë profil nuk përmend portën B, dhe ky nuk është defekt. Kërcimi i dytë i përket A, dhe detyrimi i vetëm i klientit është të dorëzojë trafikun te A dhe të pranojë atë që kthehet. Nëse A e përfundon tunelin, e përcjell apo hap një të ri është pyetja të cilës i përgjigjet pjesa tjetër e këtij shëtitjeje, dhe ajo vendos çfarë mund të lexojë A.

Serik: A dekripton dhe pastaj rikripton

Në modelin serik A e përfundon trafikun dy herë. Heq mbrojtjen nga klienti, merr paketën IP të aplikacionit dhe pastaj e dërgon atë paketë përmes një tuneli të dytë që A e krijon drejt B. Midis këtyre dy operacioneve paketa qëndron në rrugën e përcjelljes së A si një paketë IP e zakonshme e adresuar drejt një destinacioni privat.

Kjo jep dy pasoja që ia vlen të thuhen troç. A mund të zbatojë politikë mbi paketën e brendshme, në formë rrugësh, rregullash filtri dhe regjistrimi të burimit dhe destinacionit, dhe A duhet të mbajë dy grupe kredencialesh: një si server për klientin dhe një si klient i B. Mbrojtja ekziston në çdo çast, por objekti i mbrojtur ndryshon identitetin te A.

Nga kjo nuk rrjedh që A lexon tekstin e qartë të aplikacionit. Kur klienti dhe shërbimi ekzekutojnë TLS dhe verifikojnë certifikatat e njëri-tjetrit, A sheh një rrjedhë regjistrash TLS dhe jo një kërkesë të lexueshme. Të konfirmosh ku mbaron ajo mbrojtje kërkon një vështrim në zinxhirin e certifikatave të shërbimit, jo në diagramin e tunelit.

I ndërlidhur: A heq vetëm shtresën e jashtme

Në modelin e ndërlidhur klienti ndërton fillimisht një tunel të brendshëm drejt B dhe pastaj e mbart atë tunel brenda atij të jashtëm deri te A. A e heq kryefjalën e jashtme, gjen një tunel të brendshëm dhe e përcjell pa i mbajtur çelësat, kështu që mbrojtja e brendshme përsëri përfundon te B.

Atëherë lidhja lart e klientit mbart dy shtresa, ndërsa rruga midis A dhe B mbart një. A sheh adresat e jashtme të tunelit të brendshëm, çka mjafton për të ditur se ka trafik dhe afërsisht ku shkon, dhe nuk mjafton për të lexuar ngarkesën. Ky është i gjithë ndryshimi nga rasti serik, dhe asnjë numërues kërcimesh nuk e tregon. Ajo që A ende mund të bëjë është të refuzojë të përcjellë atë që nuk mund ta lexojë, dhe kjo është gjithmonë në dispozicion të operatorit të asaj porte.

Ndërlidhja paguan për atë veti. Çdo shtresë shton kostot e kryefjalës, prandaj planifikimi i MTU dhe MSS bëhet i detyrueshëm dhe jo thjesht i rregullt, dhe një rrugë që funksionon me një shtresë mund të hedhë në heshtje paketa të mëdha me dy. Çdo shtresë ka nevojë edhe për sjelljen e vet të rilidhjes dhe të mbajtjes gjallë, dhe një dështim në një shtresë duket si ndërprerje e pjesshme përmes tjetrës.

Vizatoni vëzhguesit, jo vetëm tunelet

Tunelet janë pjesa e lehtë e vizatimit. Vëzhguesit janë ajo për të cilën bëhet fjalë modeli, prandaj shkruani një rresht për çdo këndvështrim dhe plotësoni çfarë mund të lexojë vërtet secili.

Dy rreshta ngatërrohen vazhdimisht: operatori i A dhe furnizuesi i tunelit të klientit. Ata mund të jenë një subjekt, dhe emrat e ndarë të portave nuk i bëjnë të pavarur. Pronësia e pavarur kërkon kontroll administrativ të veçantë, kredenciale të veçanta dhe regjistrim të veçantë.

Metadatat i mbijetojnë të dy modeleve. Koha, madhësitë e paketave dhe numri i lidhjeve mbeten të vëzhgueshme në çdo kërcim, prandaj dy kërcime rrisin koston e korrelacionit dhe nuk e heqin sinjalin. Një model që premton padukshmëri duhet të kontrollohet kundrejt asaj liste përpara se dikush të mbështetet tek ai.

Përshkoni rrugët e dështimit përpara se të zgjidhni

Thyeni gjërat me qëllim nga klienti, sipas radhës që një përdorues do t'i takonte. Filloni me ndërfaqen dhe MTU-në e saj, sepse ndërlidhja dështon në madhësinë e paketës shumë përpara se të dështojë në vërtetim.

ip -4 addr show dev tun0
ip link show dev tun0 | grep mtu
ping -M do -s 1380 -c 2 10.77.1.1

Pastaj konfirmoni pikat fundore të mbrojtjes në vend që t'i supozoni. Kërkoni shërbimit certifikatën e tij nga brenda çdo tuneli që është i hapur, dhe krahasoni zinxhirin që sheh klienti me zinxhirin që shërbimi paraqet vërtet. Një portë që rinënshkruan ose përgjon e ndryshon atë certifikatë, dhe inspektimi bëhet i dukshëm me një komandë të vetme.

openssl s_client -connect intranet.example.com:443 -brief < /dev/null

Përfundoni me matricën e rilidhjes: tuneli i klientit bie, tuneli i B bie, rruga midis A dhe B ndryshon. Shënoni çfarë kthehet dhe çfarë jo, dhe nëse një lidhje e brendshme bie ndonjëherë në një rrugë jashtë transportuesit të synuar. Regjistroni adresat që përdori çdo test, sepse përsëritja në një rrjet tjetër aksesi i përgjigjet një pyetjeje tjetër. Përsëritni edhe provën e MTU pas çdo rilidhjeje, sepse një rrugë e ndryshuar mund të ulë madhësinë e përdorshme pa lëvizur asnjë rresht konfigurimi.

Zgjidhni serikun kur A duhet të zbatojë politikë mbi paketën e brendshme, ose kur klienti nuk mund të ekzekutojë dy tunele të stivuar. Zgjidhni ndërlidhjen kur ngarkesa e brendshme duhet të mbetet e palexueshme te A. Shkruani zgjedhjen me vëzhguesit e saj dhe numrat e saj të MTU, dhe personi tjetër nuk do të duhet të rivizatojë gjithë pamjen për t'iu përgjigjur një pyetjeje.