VPN или прокси: шта свако покрива, а шта не

И VPN и прослеђивачки прокси мењају адресу коју сајт види, и ту се већина поређења зауставља. Разлика која одређује ваше подешавање је покривеност: прослеђивачки прокси је посредник који ваша апликација сама бира да користи, за разлику од обрнутог проксија који стоји испред сајта, док VPN преноси све што оперативни систем рутира у тунел. Шифровање, рад са DNS-ом и понашање при квару произилазе из ове поделе. Изведите ових пет провера по реду, и прва која не успе казаће вам који алат вам је заиста потребан.

Које апликације посредник покрива?

Проширење за прокси у прегледачу важи само за тај профил прегледача. Поштански клијенти, менаџери пакета и други прегледач настављају да користе сопствена подешавања, а неке апликације потпуно игноришу системске променљиве проксија. VPN покрива оно што табела рутирања шаље у тунел, а то могу бити све апликације или подскуп код подељеног тунела, зависно од рута и политике клијента.

Тестирајте апликације које су важне уместо да закључујете из једног учитавања странице. curl https://ifconfig.me прати променљиве проксија из окружења; десктоп апликација можда не. У Windows-у netsh winhttp show proxy штампа WinHTTP прокси који користе сервиси, а то је другачије подешавање од оног у прегледачу.

Да ли је скок шифрован, и где се TLS завршава?

Протокол проксија је место сусрета, а не гаранција. SOCKS5 прослеђује TCP без шифровања, а обичан HTTP прокси преноси линију захтева и заглавља као чист текст. HTTPS преко проксија користи CONNECT, тако да се ваша TLS сесија и даље завршава на одредишту, а не на проксију. Водич MDN-а за прокси сервере и тунелирање описује ту разлику са стране протокола.

VPN шифрује сегмент између вашег уређаја и његове крајње тачке. Иза крајње тачке важе иста правила као на било којој другој мрежи, зато један тунел не штити апликацију која шаље акредитиве преко обичног HTTP-а. Ниједан од два дизајна не скрива пријављен налог, колачић или отисак прста прегледача.

curl -v -x http://127.0.0.1:3128 https://example.com/ -o /dev/null
curl -v -x socks5h://127.0.0.1:1080 https://example.com/ -o /dev/null

Детаљан излаз показује да ли је curl послао CONNECT на порт 443 или обичан GET са пуним URL-ом. Са socks5h:// име домаћина се даје проксију унутар SOCKS5 захтева, а затим он прослеђује TLS који не може да прочита, па види име и број бајтова. Преко http:// проксија https:// URL је CONNECT, па и тај прокси види име и обим одредишта, али не захтев или тело одговора.

Који резолвер види име?

Разрешавање имена може да се догоди локално пре него што захтев оде, или удаљено на проксију. Са curl-ом socks5h:// шаље име домаћина проксију, док га socks5:// прво разрешава локално. Подешавања проксија у прегледачу нуде упоредиву DNS опцију, а PAC датотеке могу различите домаћине да рутирају на различите начине.

Два протокола могу да заобиђу прокси без икакве погрешне конфигурације. WebRTC прикупља кандидате преко STUN-а, а QUIC покреће HTTP/3 преко UDP-а, што TCP прокси не може да пренесе. Прегледач ће се вратити на TCP ако је UDP 443 блокиран, зато је блокирање UDP-а 443 на заштитном зиду домаћина (или на рутеру за целу мрежу), а не заставица у прегледачу, поуздан начин да HTTP/3 остане на путу проксија.

Проверите резолвер из перспективе одредишта, а не свог преносног рачунара. Захтев који стиже са излазном адресом проксија, али са локално разрешеним именом, и даље говори локалном резолверу које сајтове посећујете.

Шта се дешава када посредник откаже?

Експлицитни прокси отказује затворено: зауставите процес проксија и прегледач или апликација враћа грешку везе уместо да иде директно. PAC и WPAD подешавања су она која отказују отворено - ако скрипта не може да се преузме, клијент се враћа на DIRECT и сајт поново види вашу праву адресу. VPN може да откаже отворено или затворено зависно од клијента и тога да ли је активан прекидач или правило заштитног зида.

Тестирајте случај квара намерно: зауставите услугу проксија и поново учитајте; ако добијете страницу грешке уместо директног учитавања, усмерите PAC URL на недоступног домаћина да видите резервно понашање. Ако се страница и даље учитава вашим уобичајеним путем, прокси не нуди никакву заштиту од сопственог прекида, и то је особина коју треба да знате пре него што се на њега ослоните.

Редослед одређује шта сајт види. Прокси чији излазни саобраћај иде преко VPN-а оставља сајту адресу крајње тачке VPN-а; ставите прокси изван тунела (VPN до проксија на удаљеном домаћину) и сајт ће уместо тога видети излазну адресу тог проксија. У оба случаја два скока могу да бележе различите ствари.

Пет провера, по реду

Контролна листа испод је цела одлука на једном месту. Покривеност је прва јер уклања већину неспагања: ако апликација која треба да буде покривена не поштује подешавање, ништа касније на листи је не спашава.

Затим потврдите резултат апликацијом која је изазвала промену. Учитајте страницу у конфигурисаном прегледачу, преузмите исту страницу помоћу curl-а и упоредите адресу коју свако пријављује. Ако се не поклапају, проширење, PAC правило или надјачавање на нивоу апликације још делује, и никакво подешавање тунела то неће поправити.

Запишите шта сте конфигурисали: које апликације користе прокси, да ли је DNS локалан или удаљен, да ли је UDP блокиран и какво је понашање при квару. Управо овај мали попис омогућава следеће поређење, јер „IP се променио“ никада вам није рекло која је од ових пет провера успела.