Излазна IP адреса VPN-а није доказ тунела: шта виде сервери

Неко тражи услугу до које могу доћи само корисници VPN-а, а очигледно решење је допустити списак излазних адреса. Списак чини нешто стварно: ограничава ко може да се повеже. Он не доказује да је тунел коришћен, јер адреса припада ономе ко управља излазом, а тај оператер може проследити туђи саобраћај. Разлика између тих тврдњи јесте цео проблем дизајна.

Сервер види једну адресу по вези

Веза долази са изворном адресом и одредишним портом, и то је све што мрежни слој извештава. Када клијент користи тунел, пакети који стижу до вашег слушаоца долазе са излаза или са превођења испред њега. Властита адреса клијента, обично приватна, никада се не појављује. Зато правило заштитног зида написано за локални опсег клијента не чини баш ништа.

Све након те изворне адресе јесу подаци апликације, а апликација им може веровати само онолико колико их аутентификује.

Проверите како изгледа ваш излаз

Погледајте пут са обе стране пре писања правила. Поглед клијента на властити излаз и поглед сервера на везу две су чињенице које су важне.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Прва наредба извештава јавну адресу под којом се клијент појављује, а то је вредност коју сваки списак дозвољених мора да садржи. Друга приказује успостављене везе на серверу са адресама њихових саговорника, и управо са тим ће се правило стварно подударати. Ако се то двоје не слаже са вашим менталним моделом, поправите модел пре уређивања политике. Заштитни зид cloud базе података, списак дозвољених апликације и балансер оптерећења могу сваки видети други слој превођења.

Може се навести само један од два скупа излаза

Један случај је проверљив у тренутку захтева, а други није, што даје врло различита јемства.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

Објављени списак Торових излаза може се добавити и упоредити, зависно од старости списка и властите политике сваког излаза, па је правило одбијања према познатим излазима спроводиво и прегледно. Не постоји еквивалентан регистар за комерцијалне VPN-ове. Адресе се ротирају, многи провајдери не објављују ништа, а тунел може радити на изнајмљеној cloud адреси која никада није припадала VPN-у. Списак који саставите снимка је забележених адреса, а његово проширење на хостинг опсеге додаје неповезане послове без додавања доказа.

Користите адресе као улаз у политику, не као доказ

Одредите чему правило служи. Мрежно ограничење треба да остане уско, да забележи примећену адресу са датумом и разлогом и да да легитимним корисницима пут опоравка када им се излаз промени. Контрола приступа треба аутентификован рачун или потписан токен, јер само они везују захтев за идентитет. Процена ризика може користити адресу као један непоуздан сигнал, прихватајући његове лажне позитивне и слепе тачке. Написати правило као производну одлуку искрено је; написати га као проверу да тунел постоји није.

Зерцални захтев, враћање стварне адресе корисника иза VPN-а, не успева из истог разлога: једна веза носи једну адресу, а промена између сесија доследна је са неколико објашњења. Третирајте ранију вредност као историју, не као истину.