Vad en företagsbrandvägg kan och inte kan se inuti en VPN

Samma bärbara dator når VPN:en hemifrån och kan inte ansluta från kontoret, så någon måste läsa trafiken. Blockering och läsning är åtskilda befogenheter, och bara den andra behöver en plats på vägen plus ett certifikat som klienten litar på. En mellanlåda som slänger ditt handskakning har inte lärt sig något om det du skulle ha skickat. Att avgöra vilken av de två du står inför är hela jobbet.

Blockering och läsning är olika befogenheter

En avvisning är billig och högljudd: socketen öppnas och inget svarar, eller en reset kommer direkt. Inget av det innebär inspektion, eftersom ingen nyttolast korsade ledningen.

Läsning kräver en slutpunkt som avslutar skyddet, bevisar sig med ett certifikat och startar en ny anslutning vidare. Den slutpunkten måste ligga på vägen och vara betrodd av klienten. En brandvägg som bara vidarebefordrar paket har varken position eller behörighet.

Vad omslaget bjuder på gratis

Varje tunnelpaket har en utsida, och utsidan måste vara routbar. Det betyder två adresser, ett protokoll, en port och en längd, plus tid och volym. Varje router hanterar redan de fälten, och en NAT skriver om adressen och porten för att hålla sin mappningstabell konsekvent. Nyttolasten förblir förseglad, så observationen stannar vid att det finns en tunnel mellan två värdar.

Ett värdnamn hör inte dit. Webbplatser läcker genom andra dörrar, och den bredaste är DNS: om den bärbara datorn fortfarande frågar den lokala resolveraren syns namnen i klartext.

Tid och volym förtjänar respekt utan att överdrivas. Byte per minut kan visa att en stor överföring börjar klockan 14:20; de kan inte visa vilken fil som flyttades. Det är ett verkligt avslöjande om beteende, och en annan kategori än att läsa innehåll.

TLS-avlyssning kräver en rot du redan litar på

En inspektionsapparat bryter inte TLS; den avslutar det. Klienten får svar med ett certifikat från en rot som organisationen äger, och en andra anslutning går till den verkliga destinationen. Klienten accepterar detta eftersom roten finns i dess förtroendelager, och därför visar en hanterad bärbar dator ingen varning. Kryptografi besegrades aldrig; slutpunkten flyttades.

Det är också därför arrangemanget lämnar bevis. Utfärdaren på den visade kedjan tillhör organisationen och inte en offentlig CA, och en klient kan se det utan specialverktyg. En kedja som slutar i en intern rot är signaturen för avlyssning, inte ett fel.

Varför en VPN-kanal inte är en HTTPS-session

En VPN-datakanal ger en inspektör inget sådant fotfäste. IKEv2 och WireGuard kör egna handskakningar och nyckelscheman, utan TLS att avsluta, medan OpenVPN lånar TLS till sin kontrollkanal i ändrad form innan det skyddar data på sitt eget sätt. En proxy byggd för HTTPS känner inte igen den sessionen som något den kan tolka.

En apparat som inte kan tolka en session kan ändå slänga den. Därför ser VPN-blockering oftast ut som en timeout och inte som en certifikatvarning, och därför ändrar ett undantag ingenting.

Kontrollera från din egen maskin

Börja med kedjan som webbplatsen presenterar. Webbplatsinformationen i webbläsaren visar utfärdaren, och kommandoraden rapporterar samma sak utan sammanfattningen:

openssl s_client -connect example.com:443 -servername example.com

Separera sedan ett avvisat handskakning från filtrerad inre trafik med räknare. Logga transportporten före varje droppregel och läs dem efter försöket:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Ingen logglinje på det yttre uttaget betyder att handskakningen aldrig gick ut, så vägen avvisar tunneln. Ett fullbordat handskakning där bara vissa mål misslyckas betyder att tunneln fungerar och att policyn inuti inte gör det. Ingen av resultaten krävde att läsa en byte nyttolast.

Läsningen som faktiskt sker sitter i kanterna: en delad tunnel lämnar intern HTTPS till en företagsproxy, och en koncentrator som arbetsgivaren äger exponerar allt vid utgången. Vad du än hittar, stäng inte av certifikatverifieringen för att tvinga fram en anslutning, för den kontrollen är det enda som skiljer inspektion från en angripare.