Може ли мрежа да блокира ваш VPN а да не разбије шифровање?
Шифровање штити садржај, а не испоруку. Упоредите црне листе, беле листе и искључења, а затим питајте шта једно посматрање заиста може да подржи.
Ниједном оператеру не треба кључ сесије да заустави тунел: одбаците пакете на путу и он пропада, док криптографија остаје тачно онолико јака колико је њен дизајн обећао. Шифровање штити оно што разговор носи, а не спремност било које мреже да га носи. Раздвајање ових двеју особина претвара расправу о неблокираности у питање која је политика на снази и докле сеже. Поређење испод држи доступност и поверљивост одвојено, јер већина сигурних тврдњи о блокирању VPN-а их тихо спаја.
Доступност је одлука коју доноси пут
Сваки транспорт зависи од пута који прослеђује пакете, и свако питање политике овде се своди на ту одлуку о прослеђивању. Правило које одбацује пакете мења доступност не дирајући поверљивост, и тако тунел може бити беспрекорно шифрован и потпуно неупотребљив у истом тренутку. Ништа у том исходу не захтева разбијање шифре или враћање кључа. Захтева само контролу над путем.
Забуна обично почиње тиме што две особине деле једну реч. Јака криптографија говори ко може да чита ток; не говори ништа о томе хоће ли га посредни уређај пропустити. Тврдња да се VPN не може блокирати зато тражи другу тврдњу испод себе, наиме да нико на путу није спреман да одбаци пакете.
Стилови спровођења и цена сваког
Три стила покривају већину стварних политика, и разликују се по томе шта морају да знају, колико кошта њихово вођење и ко још трпи. Сваки од њих може да одбије тунел без дешифровања било чега. Разлике су важне јер се иста реч, блокирање, користи за сва три.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Та табела је мапа трошкова, а не рангирање. Црна листа је јефтина за почетак и скупа за одржавање тачности; бела листа мења откривање за одржавање дозвољеног скупа, а искључење не тражи никакву класификацију. Не раздваја их техничка префињеност него то где сваки од њих ставља трајни напор. Политика која на папиру изгледа једноставно обично има негде другде скривену ставку одржавања.
Црна листа је ограничена тиме колико добро адреса именује услугу
Црна листа одбија већ идентификована одредишта, а остала оставља углавном доступним. За њено спровођење потребне су адресе и портови, а не чисти текст, и то је чини јефтином за рад на почетку. Трошак долази касније, јер опсег који је некада означавао једног провајдера може после да угости десетак неповезаних закупаца. Свака промена адресе налаже измену листе, и сваки застарели унос носи са собом невин саобраћај.
Прецизност је у овом моделу ограничена тиме колико добро одредиште идентификује услугу, а заузета дељена крајња тачка је лош идентификатор. То је структурна граница, а не дефект имплементације, па је бољи алати не уклањају. То објашњава и зашто црне листе имају тенденцију да расту: свака нова крајња тачка изгледа као мали додатак, а колатерална штета расте са листом.
Бела листа премешта терет одржавања
Бела листа обрће подразумевано, тако да пролазе само однапред изабрана одредишта или типови саобраћаја. Не мора да наброји свако забрањено крајње одредиште, што помаже када је забрањени скуп велики или се брзо мења. Оно што јој треба уместо тога јесте одржавана дефиниција дозвољеног, плус спровођење које се с том дефиницијом поклапа.
Бројеви портова су уобичајена слаба тачка у таквој дефиницији. Дозволити порт није исто што и идентификовати сваку апликацију која га може користити, па бела листа заснована на портовима често пропушта више него што је њен аутор намеравао. Отисци протокола имају исти проблем из другог угла, јер идентификују облик саобраћаја, а не намеру. Бела листа зато није аутоматски прецизнија од црне; она је прецизна у погледу нечег другог.
Шта једно посматрање може да подржи, а шта не
Сваку тврдњу о блокирању треба читати са четири питања у руци: које приступне мреже, која одредишта, који протоколи и који период посматрања. Неуспех виђен данас на једној мобилној мрежи не говори ништа о истој крајњој тачки сутра с друге мреже. Ни тунел који је једном радио не говори ништа о трајној доступности.
Облик неуспеха може се посматрати пре него што будете теоретисали о његовом узроку. Тихо висење, тренутно одбијање и ресет после повезивања упућују на различите стилове спровођења, а две команде их раздвајају:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comВишење које се заврши истеком времена указује на тихо одбацивање, брзо одбијање на уређај који одбија на путу, а ресет после повезивања на интервенцију са стањем, а не на недостајућу руту. Преглед техника цензуре RFC 9505 описује контролне тачке и обрасце интервенције иза тих облика. Ниједан од њих, међутим, не каже колико се широко политика примењује. Трајност је јача тврдња од доступности: крајње тачке, софтвер, политике и дозвољене услуге све се мењају, па неограничена ефикасност тражи претпоставке о наставку спровођења, а не списак адреса виђених у једном тренутку.