Çfarë mund dhe çfarë nuk mund të shohë një firewall korporativ brenda një VPN

I njëjti laptop arrin VPN-në nga shtëpia dhe nuk lidhet dot nga zyra, pra dikush duhet të lexojë trafikun. Bllokimi dhe leximi janë pushtete të ndara, dhe vetëm i dyti kërkon një vend në rrugë plus një certifikatë që klienti e beson. Një kuti e ndërmjetme që hedh dorështrëngimin tuaj nuk mësoi asgjë për atë që do të kishit dërguar. Të vendosësh me cilën nga të dyja përballesh është i gjithë puna.

Bllokimi dhe leximi janë pushtete të ndryshme

Një refuzim është i lirë dhe i zhurmshëm: soketi hapet dhe asgjë nuk përgjigjet, ose një rivendosje vjen menjëherë. Asgjë nga kjo nuk nënkupton inspektim, sepse asnjë ngarkesë nuk kaloi telin.

Leximi kërkon një pikë fundore që përfundon mbrojtjen, provohet me certifikatë dhe hap një lidhje të re përpara. Ajo pikë duhet të qëndrojë në rrugë dhe të besohet nga klienti. Një firewall që vetëm përcjell paketa nuk ka as pozicion as kredencial.

Çfarë jep mbështjellja falas

Çdo paketë tuneli ka një jashtë, dhe jashtë duhet të jetë e rrugëtueshme. Kjo do të thotë dy adresa, një protokoll, një port dhe një gjatësi, plus kohë dhe vëllim. Çdo ruter tashmë i trajton ato fusha, dhe një NAT rishkruan adresën dhe portin për ta mbajtur tabelën e tij të hartëzimit konsistente. Ngarkesa mbetet e vulosur, prandaj vëzhgimi ndalon në faktin se ekziston një tunel midis dy hosteve.

Një emër hosti nuk është mes tyre. Faqet rrjedhin nga dyer të tjera, dhe më e gjera është DNS: nëse laptopi ende pyet zgjidhësin lokal, emrat shfaqen haptas.

Koha dhe vëllimi meritojnë respekt pa u ekzagjeruar. Bajt në minutë mund të tregojnë se një transferim i madh fillon në 14:20; nuk mund të tregojnë cili skedar u zhvendos. Është një zbulim i vërtetë për sjelljen, dhe një kategori tjetër nga leximi i përmbajtjes.

Përgjimi i TLS kërkon një rrënjë që ju tashmë e besoni

Një pajisje inspektimi nuk e thyen TLS; e përfundon atë. Klientit i përgjigjet një certifikatë nga një rrënjë që organizata zotëron, dhe një lidhje e dytë shkon te destinacioni i vërtetë. Klienti e pranon këtë sepse ajo rrënjë qëndron në depon e tij të besimit, prandaj një laptop i menaxhuar nuk tregon asnjë paralajmërim. Kriptografia nuk u mposht kurrë; pika fundore u zhvendos.

Prandaj kjo skemë lë gjurmë. Lëshuesi në zinxhirin e paraqitur i përket organizatës dhe jo një CA publike, dhe klienti mund ta shohë këtë pa mjete të posaçme. Një zinxhir që përfundon në një rrënjë të brendshme është nënshkrimi i përgjimit, jo një defekt.

Pse një kanal VPN nuk është sesion HTTPS

Një kanal të dhënash VPN nuk i jep inspektorit një pikëmbështetje të tillë. IKEv2 dhe WireGuard ekzekutojnë dorështrëngimet dhe skemat e çelësave të tyre, pa TLS për të përfunduar, ndërsa OpenVPN huazon TLS për kanalin e tij të kontrollit në një formë të modifikuar përpara se t’i mbrojë të dhënat në mënyrën e vet. Një proxy i ndërtuar për HTTPS nuk e njeh atë sesion si diçka që mund ta analizojë.

Një pajisje që nuk mund të analizojë një sesion prapë mund ta hedhë atë. Prandaj bllokimi i VPN zakonisht duket si skadim kohe dhe jo si paralajmërim certifikate, dhe prandaj një përjashtim nuk ndryshon asgjë.

Kontrollojeni nga makina juaj

Filloni me zinxhirin që paraqet faqja. Detajet e faqes në shfletues tregojnë lëshuesin, dhe rreshti i komandës raporton të njëjtën gjë pa përmbledhjen:

openssl s_client -connect example.com:443 -servername example.com

Më pas ndani një dorështrëngim të refuzuar nga trafiku i brendshëm i filtruar me numërues. Regjistroni portin e transportit përpara çdo rregulli hedhjeje dhe lexojini pas përpjekjes:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Asnjë rresht regjistri në soketin e jashtëm do të thotë që dorështrëngimi nuk doli kurrë, prandaj rruga e refuzon tunelin. Një dorështrëngim i përfunduar ku dështojnë vetëm disa destinacione do të thotë që tuneli funksionon dhe politika brenda tij jo. Asnjëri rezultat nuk kërkoi leximin e një bajti ngarkese.

Leximi që ndodh vërtet qëndron në skaje: një tunel i ndarë i dorëzon HTTPS-në e brendshme një proxy korporativ, dhe një koncentrator në pronësi të punëdhënësit ekspozon gjithçka në dalje. Çfarëdo që të gjeni, mos e çaktivizoni verifikimin e certifikatave për të detyruar një lidhje, sepse ai kontroll është e vetmja gjë që ndan inspektimin nga një sulmues.