IP-ja e daljes së VPN nuk është provë e një tuneli: çfarë shohin serverët

Dikush kërkon një shërbim që vetëm përdoruesit e VPN mund ta arrijnë, dhe zbatimi i dukshëm është të lejohet një listë e adresave të daljes. Lista bën diçka reale: kufizon kush mund të lidhet. Ajo nuk vërteton se u përdor një tunel, sepse adresa i përket atij që drejton daljen, dhe ai operator mund të përcjellë trafikun e kujtdo. Hendeku midis këtyre pohimeve është i gjithë problemi i dizajnit.

Serveri sheh një adresë për lidhje

Një lidhje vjen me një adresë burimi dhe një port destinacioni, dhe kaq raporton shtresa e rrjetit. Kur një klient përdor një tunel, paketat që arrijnë te dëgjuesi juaj vijnë nga dalja ose nga përkthimi përpara saj. Adresa e vetë klientit, zakonisht private, nuk shfaqet kurrë. Prandaj një rregull muri zjarri i shkruar për intervalin e rrjetit lokal të klientit nuk bën absolutisht asgjë.

Çdo gjë pas asaj adrese burimi janë të dhëna aplikacioni, dhe aplikacioni mund t’u besojë vetëm në masën që i vërteton ato.

Provoni si duket dalja juaj

Shikoni rrugën nga të dy skajet para se të shkruani një rregull. Pikëpamja e klientit për daljen e tij dhe pikëpamja e serverit për lidhjen janë dy faktet që kanë rëndësi.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Komanda e parë raporton adresën publike me të cilën shfaqet klienti, dhe kjo është vlera që duhet të përmbajë çdo listë lejimesh. E dyta tregon lidhjet e vendosura në server me adresat e partnerëve të tyre, dhe pikërisht me këtë do të përputhet rregulli në të vërtetë. Nëse të dyja nuk përputhen me modelin tuaj mendor, rregulloni modelin përpara se të redaktoni politikën. Një mur zjarri për një bazë të dhënash në re, një listë lejimesh aplikacioni dhe një balancues ngarkese mund të shohin secili një shtresë të ndryshme përkthimi.

Vetëm një nga dy grupet e daljes mund të listohet

Një rast mund të kontrollohet në momentin e kërkesës dhe tjetri jo, gjë që prodhon garanci shumë të ndryshme.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Lista e publikuar e daljeve të Tor mund të merret dhe krahasohet, në varësi të moshës së listës dhe politikës së secilës dalje, kështu që një rregull refuzimi ndaj daljeve të njohura është i zbatueshëm dhe i rishikueshëm. Nuk ekziston një regjistër ekuivalent për VPN-të komerciale. Adresat rrotullohen, shumë ofrues nuk publikojnë asgjë, dhe një tunel mund të funksionojë në një adresë reje të marrë me qira që nuk i përkiste kurrë një VPN. Lista që përpiloni është një fotografi e adresave të vëzhguara, dhe zgjerimi i saj në intervalet e hostimit shton ngarkesa të palidhura pa shtuar prova.

Përdorni adresat si hyrje politike, jo si provë

Vendosni për çfarë është rregulli. Një kufizim rrjeti duhet të mbetet i ngushtë, të regjistrojë adresën e vëzhguar me datën dhe arsyen, dhe t’u japë përdoruesve legjitimë një rrugë rikuperimi kur dalja e tyre ndryshon. Kontrolli i aksesit kërkon një llogari të vërtetuar ose një shenjë të nënshkruar, sepse vetëm ato lidhin një kërkesë me një identitet. Vlerësimi i rrezikut mund të përdorë adresën si një sinjal të vetëm jo të besueshëm, duke pranuar pozitivët e rremë dhe pikat e verbër të tij. Ta shkruash rregullin si vendim produkti është i ndershëm; ta shkruash si verifikim që ekziston një tunel nuk është.

Kërkesa pasqyrë, rikuperimi i adresës reale të përdoruesit pas një VPN, dështon për të njëjtën arsye: një lidhje mban një adresë, dhe një ndryshim midis seancave është i pajtueshëm me disa shpjegime. Trajtoni vlerën e mëparshme si histori, jo si të vërtetë.