VPN లోపల కార్పొరేట్ ఫైర్‌వాల్ ఏమి చూడగలదు, ఏమి చూడలేదు

అదే ల్యాప్‌టాప్ ఇంటి నుండి VPN ను చేరుతుంది, కార్యాలయం నుండి కనెక్ట్ కాలేదు, కాబట్టి ఎవరో ట్రాఫిక్ చదువుతున్నారు. నిరోధించడం మరియు చదవడం వేర్వేరు అధికారాలు, రెండవదానికి మాత్రమే మార్గంలో ఒక స్థానం మరియు క్లయింట్ నమ్మే ధృవపత్రం అవసరం. మీ హ్యాండ్‌షేక్‌ను పారేసే మధ్య పెట్టె మీరు పంపే విషయం గురించి ఏమీ నేర్చుకోలేదు. ఈ రెండింటిలో ఏది ఎదుర్కొంటున్నారో నిర్ణయించడమే మొత్తం పని.

నిరోధించడం మరియు చదవడం వేర్వేరు అధికారాలు

తిరస్కరణ చవకైనది మరియు గట్టిగా వినిపిస్తుంది: సాకెట్ తెరుచుకుంటుంది, ఏదీ సమాధానం ఇవ్వదు, లేదా వెంటనే రీసెట్ వస్తుంది. వాటిలో ఏదీ తనిఖీ అని అర్థం కాదు, ఎందుకంటే ఏ పేలోడ్ తీగను దాటలేదు.

చదవడానికి రక్షణను ముగించే, ధృవపత్రంతో తనను నిరూపించుకునే, ముందుకు కొత్త కనెక్షన్ ప్రారంభించే ముగింపు బిందువు అవసరం. ఆ బిందువు మార్గంలో ఉండాలి, క్లయింట్ నమ్మాలి. ప్యాకెట్లను మాత్రమే పంపే ఫైర్‌వాల్‌కు స్థానం లేదు, అనుమతి లేదు.

పొర ఉచితంగా ఏమి ఇస్తుంది

ప్రతి సొరంగ ప్యాకెట్‌కు ఒక బయటి భాగం ఉంటుంది, బయటి భాగం మార్గనిర్దేశితం కావాలి. అంటే రెండు చిరునామాలు, ఒక ప్రోటోకాల్, ఒక పోర్ట్, ఒక పొడవు, దానితో సమయం మరియు పరిమాణం. ఏదైనా రౌటర్ ఆ ఫీల్డ్‌లను ఇప్పటికే నిర్వహిస్తుంది, NAT తన మ్యాపింగ్ పట్టికను స్థిరంగా ఉంచడానికి చిరునామా మరియు పోర్ట్‌ను తిరిగి రాస్తుంది. పేలోడ్ ముద్రితంగానే ఉంటుంది, కాబట్టి పరిశీలన రెండు హోస్ట్‌ల మధ్య సొరంగం ఉంది అనే వాస్తవం వద్ద ఆగుతుంది.

హోస్ట్ పేరు వాటిలో లేదు. సైట్‌లు ఇతర తలుపుల ద్వారా కారుతాయి, అత్యంత వెడల్పైనది DNS: ల్యాప్‌టాప్ ఇంకా స్థానిక పరిష్కారిణిని అడిగితే, పేర్లు బహిరంగంగా కనిపిస్తాయి.

సమయం మరియు పరిమాణం అతిగా చెప్పకుండా గౌరవం పొందాలి. నిమిషానికి బైట్లు 14:20 కి పెద్ద బదిలీ ప్రారంభమవుతుందని చూపగలవు; ఏ ఫైల్ కదిలిందో చూపలేవు. అది ప్రవర్తన గురించిన నిజమైన వెల్లడి, కంటెంట్ చదవడం నుండి వేరే వర్గం.

TLS అంతరాయానికి మీరు ఇప్పటికే నమ్మే మూలం కావాలి

తనిఖీ చేసే పరికరం TLS ను విచ్ఛిన్నం చేయదు; దాన్ని ముగిస్తుంది. క్లయింట్‌కు సంస్థ సొంతం చేసుకున్న మూలం నుండి ధృవపత్రం సమాధానం ఇస్తుంది, రెండవ కనెక్షన్ నిజమైన గమ్యానికి వెళ్తుంది. ఆ మూలం అతని విశ్వాస నిల్వలో ఉన్నందున క్లయింట్ దీన్ని అంగీకరిస్తాడు, అందుకే నిర్వహిత ల్యాప్‌టాప్ ఎలాంటి హెచ్చరిక చూపదు. క్రిప్టోగ్రఫీ ఎప్పుడూ ఓడలేదు; ముగింపు బిందువు కదిలించబడింది.

అందుకే ఈ ఏర్పాటు సాక్ష్యాలను మిగులుస్తుంది. సమర్పించిన గొలుసులో జారీచేసేది ప్రజా CA కాదు, సంస్థది, ప్రత్యేక సాధనాలు లేకుండా క్లయింట్ దాన్ని చూడగలడు. అంతర్గత మూలం వద్ద ముగిసే గొలుసు అంతరాయం యొక్క సంతకం, లోపం కాదు.

VPN ఛానెల్ HTTPS సెషన్ ఎందుకు కాదు

VPN డేటా ఛానెల్ తనిఖీదారుడికి అలాంటి ఆధారం ఇవ్వదు. IKEv2 మరియు WireGuard తమ సొంత హ్యాండ్‌షేక్‌లు మరియు కీ షెడ్యూల్‌లు నడుపుతాయి, ముగించడానికి TLS లేదు, అయితే OpenVPN తన నియంత్రణ ఛానెల్ కోసం TLS ను మార్చిన రూపంలో అప్పు తీసుకుని, తరువాత డేటాను తన విధంగా రక్షిస్తుంది. HTTPS కోసం నిర్మించిన ప్రాక్సీ ఆ సెషన్‌ను తాను విశ్లేషించగల వస్తువుగా గుర్తించదు.

సెషన్‌ను విశ్లేషించలేని పరికరం దాన్ని పారేయగలదు. అందుకే VPN నిరోధం సాధారణంగా ధృవపత్ర హెచ్చరికగా కాకుండా సమయం ముగిసినట్టు కనిపిస్తుంది, అందుకే మినహాయింపు ఏమీ మార్చదు.

మీ స్వంత యంత్రం నుండి తనిఖీ చేయండి

సైట్ సమర్పించే గొలుసుతో ప్రారంభించండి. బ్రౌజర్ సైట్ వివరాలు జారీచేసేదాన్ని చూపుతాయి, కమాండ్ లైన్ సారాంశం లేకుండా అదే విషయం నివేదిస్తుంది:

openssl s_client -connect example.com:443 -servername example.com

తరువాత కౌంటర్లతో తిరస్కరించిన హ్యాండ్‌షేక్‌ను వడపోసిన అంతర్గత ట్రాఫిక్ నుండి వేరు చేయండి. ఏ డ్రాప్ నియమానికి ముందైనా రవాణా పోర్ట్‌ను నమోదు చేసి ప్రయత్నం తర్వాత వాటిని చదవండి:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

బయటి సాకెట్‌లో ఏ లాగ్ లైనూ లేకపోవడం అంటే హ్యాండ్‌షేక్ ఎప్పుడూ బయటకు వెళ్లలేదు, కాబట్టి మార్గం సొరంగాన్ని తిరస్కరిస్తోంది. పూర్తయిన హ్యాండ్‌షేక్ మరియు కొన్ని గమ్యాలు మాత్రమే విఫలం కావడం అంటే సొరంగం పనిచేస్తుంది, లోపలి విధానం పనిచేయదు. ఏ ఫలితానికీ పేలోడ్‌లో ఒక బైట్ చదవాల్సిన అవసరం రాలేదు.

నిజంగా జరిగే పఠనం అంచుల్లో ఉంటుంది: విభజిత సొరంగం అంతర్గత HTTPS ను కార్పొరేట్ ప్రాక్సీకి అప్పగిస్తుంది, యజమాని సొంతమైన కేంద్రీకరణ పరికరం నిష్క్రమణలో అన్నింటినీ బహిర్గతం చేస్తుంది. మీరు ఏమి కనుగొన్నా, కనెక్షన్‌ను బలవంతం చేయడానికి ధృవపత్ర ధృవీకరణను ఆఫ్ చేయవద్దు, ఎందుకంటే ఆ తనిఖీయే పరిశీలనను దాడి చేసేవాడి నుండి వేరు చేస్తుంది.