VPN-க்குள் ஒரு நிறுவன ஃபயர்வால் என்ன பார்க்க முடியும், என்ன பார்க்க முடியாது

அதே மடிக்கணினி வீட்டிலிருந்து VPN-ஐ அடைகிறது, அலுவலகத்திலிருந்து இணைக்க முடியவில்லை, எனவே யாரோ போக்குவரத்தைப் படிக்கிறார். தடுப்பதும் படிப்பதும் தனித்தனி அதிகாரங்கள், இரண்டாவதற்கு மட்டுமே பாதையில் ஒரு இடமும் வாடிக்கையாளர் நம்பும் சான்றிதழும் தேவை. உங்கள் கைகுலுக்கலைத் தூக்கி எறியும் இடைப் பெட்டி நீங்கள் அனுப்பியிருக்கும் விஷயத்தைப் பற்றி எதுவும் கற்றுக்கொள்ளவில்லை. இவை இரண்டில் எதை எதிர்கொள்கிறீர்கள் என்பதைத் தீர்மானிப்பதே முழு வேலை.

தடுப்பதும் படிப்பதும் வெவ்வேறு அதிகாரங்கள்

மறுப்பு மலிவானதும் சத்தமானதும்: சாக்கெட் திறக்கிறது, எதுவும் பதிலளிக்கவில்லை, அல்லது உடனே மீட்டமைப்பு வருகிறது. இவை எதுவும் பரிசோதனை என்று பொருள் அல்ல, ஏனெனில் எந்தப் பேலோடும் கம்பியைக் கடக்கவில்லை.

படிக்கப் பாதுகாப்பை முடிப்பதும், சான்றிதழால் தன்னை நிரூபிப்பதும், முன்னால் புதிய இணைப்பைத் தொடங்குவதும் செய்யும் முனை தேவை. அந்த முனை பாதையில் இருக்க வேண்டும், வாடிக்கையாளர் அதை நம்ப வேண்டும். பாக்கெட்டுகளை மட்டும் அனுப்பும் ஃபயர்வாலுக்கு இடமும் இல்லை, அனுமதியும் இல்லை.

உறை என்ன இலவசமாகத் தருகிறது

ஒவ்வொரு சுரங்கப் பாக்கெட்டுக்கும் ஒரு வெளிப்புறம் உண்டு, வெளிப்புறம் வழித்தடமாக இருக்க வேண்டும். அதாவது இரண்டு முகவரிகள், ஒரு நெறிமுறை, ஒரு துறைமுகம், ஒரு நீளம், கூட நேரமும் அளவும். எந்த ரவுட்டரும் அந்தப் புலங்களை ஏற்கனவே கையாள்கிறது, NAT அதன் வரைபட அட்டவணையைச் சீராக வைக்க முகவரியையும் துறைமுகத்தையும் மீண்டும் எழுதுகிறது. பேலோடு முத்திரையிடப்பட்டே இருக்கிறது, எனவே கவனிப்பு இரு ஹோஸ்ட்களுக்கு இடையே ஒரு சுரங்கப்பாதை உள்ளது என்ற உண்மையில் நிற்கிறது.

ஹோஸ்ட் பெயர் அவற்றில் இல்லை. தளங்கள் வேறு கதவுகள் வழியாகக் கசிகின்றன, மிக அகலமானது DNS: மடிக்கணினி இன்னும் உள்ளூர் தீர்வியைக் கேட்டால், பெயர்கள் வெளிப்படையாகத் தெரிகின்றன.

நேரமும் அளவும் மிகைப்படுத்தல் இல்லாமல் மதிப்புக்குரியவை. நிமிடத்திற்கு பைட்டுகள் 14:20 க்கு ஒரு பெரிய பரிமாற்றம் தொடங்குவதைக் காட்ட முடியும்; எந்தக் கோப்பு நகர்ந்தது எனக் காட்ட முடியாது. அது நடத்தை பற்றிய உண்மையான வெளிப்பாடு, உள்ளடக்கத்தைப் படிப்பதிலிருந்து வேறு வகை.

TLS இடையீட்டுக்கு நீங்கள் ஏற்கனவே நம்பும் வேர் தேவை

பரிசோதிக்கும் சாதனம் TLS-ஐ உடைப்பதில்லை; அதை முடிக்கிறது. வாடிக்கையாளருக்கு நிறுவனம் வைத்திருக்கும் வேரிலிருந்து சான்றிதழ் பதிலளிக்கிறது, இரண்டாவது இணைப்பு உண்மையான இலக்குக்குச் செல்கிறது. அந்த வேர் அவரது நம்பிக்கைக் கிடங்கில் இருப்பதால் வாடிக்கையாளர் இதை ஏற்கிறார், அதனால்தான் நிர்வகிக்கப்படும் மடிக்கணினி எந்த எச்சரிக்கையும் காட்டுவதில்லை. மறையாக்கம் ஒருபோதும் தோற்கவில்லை; முனை நகர்த்தப்பட்டது.

அதனால்தான் இந்த ஏற்பாடு சான்றுகளை விட்டுச் செல்கிறது. வழங்கப்பட்ட சங்கிலியில் வழங்குநர் பொது CA அல்ல, நிறுவனத்திற்குச் சொந்தமானது, சிறப்புக் கருவிகள் இல்லாமல் வாடிக்கையாளர் அதைப் பார்க்க முடியும். உள் வேரில் முடியும் சங்கிலி இடையீட்டின் கையொப்பம், குறைபாடு அல்ல.

VPN சேனல் HTTPS அமர்வு ஏன் அல்ல

VPN தரவுச் சேனல் பரிசோதகருக்கு அத்தகைய ஊன்றுகோலைத் தருவதில்லை. IKEv2 மற்றும் WireGuard தங்கள் சொந்தக் கைகுலுக்கல்களையும் விசை அட்டவணைகளையும் இயக்குகின்றன, முடிக்க TLS இல்லை, அதேசமயம் OpenVPN தன் கட்டுப்பாட்டுச் சேனலுக்கு TLS-ஐ மாற்றிய வடிவில் கடன் வாங்கி, பின்னர் தரவைத் தன் வழியில் பாதுகாக்கிறது. HTTPS-க்காகக் கட்டப்பட்ட ப்ராக்ஸி அந்த அமர்வைத் தான் பாகுபடுத்தக்கூடிய ஒன்றாக அடையாளம் காணவில்லை.

அமர்வைப் பாகுபடுத்த முடியாத சாதனமும் அதைத் தூக்கி எறிய முடியும். அதனால்தான் VPN தடுப்பு பொதுவாகச் சான்றிதழ் எச்சரிக்கையாக அல்ல, நேரம் முடிந்ததாகத் தெரிகிறது, அதனால்தான் விதிவிலக்கு எதையும் மாற்றுவதில்லை.

உங்கள் சொந்த இயந்திரத்திலிருந்து சரிபார்க்கவும்

தளம் வழங்கும் சங்கிலியில் தொடங்குங்கள். உலாவியின் தள விவரங்கள் வழங்குநரைக் காட்டுகின்றன, கட்டளை வரி சுருக்கம் இல்லாமல் அதையே தெரிவிக்கிறது:

openssl s_client -connect example.com:443 -servername example.com

பின்னர் எண்ணிகளைக் கொண்டு மறுக்கப்பட்ட கைகுலுக்கலை வடிகட்டிய உள் போக்குவரத்திலிருந்து பிரிக்கவும். எந்த வீழ்த்தல் விதிக்கும் முன் போக்குவரத்துத் துறைமுகத்தைப் பதிவு செய்து முயற்சிக்குப் பின் அவற்றைப் படிக்கவும்:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

வெளிச் சாக்கெட்டில் எந்தப் பதிவு வரியும் இல்லாதது கைகுலுக்கல் ஒருபோதும் வெளியேறவில்லை என்பதாகும், எனவே பாதை சுரங்கப்பாதையை மறுக்கிறது. முடிந்த கைகுலுக்கல், சில இலக்குகள் மட்டும் தோல்வியடைவது என்பது சுரங்கப்பாதை வேலை செய்கிறது, உள்ளேயுள்ள கொள்கை செய்யவில்லை என்பதாகும். எந்த முடிவுக்கும் பேலோட்டின் ஒரு பைட்டைப் படிக்க வேண்டியிருக்கவில்லை.

உண்மையில் நடக்கும் படிப்பு விளிம்புகளில் உள்ளது: பிரிக்கப்பட்ட சுரங்கப்பாதை உள் HTTPS-ஐ நிறுவன ப்ராக்ஸிக்குக் கொடுக்கிறது, முதலாளிக்குச் சொந்தமான செறிவூட்டி வெளியேறும்போது எல்லாவற்றையும் வெளிப்படுத்துகிறது. எதைக் கண்டாலும், இணைப்பை வற்புறுத்த சான்றிதழ் சரிபார்ப்பை அணைக்க வேண்டாம், ஏனெனில் அந்தச் சரிபார்ப்பே பரிசோதனையைத் தாக்குபவரிடமிருந்து பிரிக்கிறது.