Шта корпоративни фајервол може, а шта не може да види унутар VPN-а

Исти лаптоп долази до VPN-а од куће, а из канцеларије не може да се повеже, па неко мора да чита саобраћај. Блокирање и читање су одвојена овлашћења, и само другом је потребно место на путањи плус сертификат коме клијент верује. Посредник који одбаци ваше руковање није научио ништа о ономе што бисте послали. Одлучити са којим од два имате посла јесте цео посао.

Блокирање и читање су различита овлашћења

Одбијање је јефтино и гласно: сокет се отвори и ништа не одговара, или одмах стигне ресет. Ништа од тога не значи инспекцију, јер ниједан терет није прешао жицу.

Читање захтева крајњу тачку која завршава заштиту, доказује се сертификатом и отвара нову везу даље. Та тачка мора да стоји на путањи и клијент мора да јој верује. Фајервол који само прослеђује пакете нема ни позицију ни овлашћење.

Шта омот даје бесплатно

Сваки пакет тунела има спољашњу страну, а спољашња мора бити рутабилна. То значи две адресе, протокол, порт и дужину, плус време и запремину. Сваки рутер већ обрађује та поља, а NAT преписује адресу и порт да би његова табела мапирања остала конзистентна. Терет остаје запечаћен, па се посматрање зауставља на чињеници да између два хоста постоји тунел.

Име хоста није међу њима. Сајтови отичу кроз друга врата, а најшира су DNS: ако лаптоп и даље пита локални резолвер, имена се појављују отворено.

Време и запремина заслужују поштовање без претеривања. Бајтова у минуту могу да покажу да велики пренос почиње у 14:20; не могу да покажу која се датотека померила. То је стварно откривање понашања и друга категорија од читања садржаја.

TLS пресретање захтева корен коме већ верујете

Уређај за инспекцију не ломи TLS; он га завршава. Клијенту одговара сертификат из корена који организација поседује, а друга веза иде ка правом одредишту. Клијент то прихвата јер тај корен стоји у његовом складишту поверења, зато управљани лаптоп не показује упозорење. Криптографија никада није побеђена; крајња тачка је померена.

Зато овај распоред оставља доказе. Издавач на представљеном ланцу припада организацији, а не јавном CA, и клијент то види без посебних алата. Ланац који се завршава унутрашњим кореном је потпис пресретања, а не квар.

Зашто VPN канал није HTTPS сесија

Канал података VPN-а не даје инспектору такав ослонац. IKEv2 и WireGuard воде своја руковања и распореде кључева, без TLS-а који треба завршити, док OpenVPN позајмљује TLS за свој контролни канал у измењеном облику пре него што податке заштити на свој начин. Прокси направљен за HTTPS не препознаје ту сесију као нешто што може да рашчлани.

Уређај који не може да рашчлани сесију ипак може да је одбаци. Зато блокирање VPN-а обично изгледа као истек времена, а не као упозорење о сертификату, и зато изузетак ништа не мења.

Проверите са сопствене машине

Почните од ланца који сајт представља. Подаци о сајту у прегледачу показују издавача, а командна линија извештава исто без резимеа:

openssl s_client -connect example.com:443 -servername example.com

Затим бројачима одвојте одбијено руковање од филтрираног унутрашњег саобраћаја. Забележите транспортни порт пре сваког правила одбацивања и прочитајте их после покушаја:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Нема ниједне линије у дневнику на спољном сокету значи да руковање никада није изашло, па путања одбија тунел. Завршено руковање уз неуспех само неких одредишта значи да тунел ради, а унутрашња политика не. Ниједан резултат није захтевао читање бајта терета.

Читање које се заиста дешава налази се на ивицама: подељени тунел предаје унутрашњи HTTPS корпоративном проксију, а концентратор у власништву послодавца излаже све на излазу. Шта год да нађете, не искључујте проверу сертификата да бисте наметнули везу, јер та провера је једино што раздваја инспекцију од нападача.