เครือข่ายบล็อก VPN ของคุณได้ไหมโดยไม่ต้องเจาะการเข้ารหัส?
การเข้ารหัสปกป้องเนื้อหา ไม่ใช่การส่งถึง เปรียบเทียบบัญชีดำ บัญชีอนุญาต และการปิดระบบ แล้วถามว่าการสังเกตครั้งเดียวสามารถยืนยันอะไรได้จริง
ไม่มีผู้ให้บริการรายใดต้องการคีย์เซสชันเพื่อหยุดอุโมงค์: ทิ้งแพ็กเก็ตบนเส้นทางแล้วมันจะล้มเหลว ขณะที่การเข้ารหัสยังคงแข็งแรงเท่าที่การออกแบบสัญญาไว้ การเข้ารหัสปกป้องสิ่งที่บทสนทนาพาไป ไม่ใช่ความเต็มใจของเครือข่ายใดๆ ที่จะพามันไป การแยกสองคุณสมบัตินี้ออกจากกันเปลี่ยนการโต้เถียงเรื่องการบล็อกไม่ได้ให้เป็นคำถามว่า นโยบายใดมีผลบังคับใช้และมันไปไกลแค่ไหน การเปรียบเทียบด้านล่างแยกความพร้อมใช้งานกับความลับออกจากกัน เพราะข้ออ้างที่มั่นใจส่วนใหญ่เกี่ยวกับการบล็อก VPN รวมสองอย่างนี้เข้าด้วยกันอย่างเงียบๆ
การเข้าถึงได้คือการตัดสินใจของเส้นทาง
การขนส่งทุกรูปแบบขึ้นอยู่กับเส้นทางที่ส่งต่อแพ็กเก็ต และคำถามเชิงนโยบายทุกข้อตรงนี้ลดลงเหลือการตัดสินใจส่งต่อนั้น กฎที่ทิ้งแพ็กเก็ตเปลี่ยนความพร้อมใช้งานโดยไม่แตะความลับ และนั่นคือวิธีที่อุโมงค์หนึ่งจะเข้ารหัสอย่างสมบูรณ์แบบและใช้งานไม่ได้เลยในขณะเดียวกัน ไม่มีอะไรในผลลัพธ์นั้นต้องเจาะรหัสหรือกู้คืนกุญแจ มันต้องการเพียงการควบคุมเส้นทาง
ความสับสนมักเริ่มจากสองคุณสมบัติที่ใช้คำเดียวกัน การเข้ารหัสที่แข็งแรงพูดถึงว่าใครอ่านกระแสข้อมูลได้ แต่ไม่พูดเลยว่าอุปกรณ์กลางจะปล่อยให้ผ่านหรือไม่ ดังนั้นข้ออ้างว่า VPN บล็อกไม่ได้จึงต้องมีข้ออ้างที่สองรองรับ นั่นคือไม่มีใครบนเส้นทางยินดีทิ้งแพ็กเก็ต
รูปแบบการบังคับใช้และราคาของแต่ละแบบ
สามรูปแบบครอบคลุมนโยบายจริงส่วนใหญ่ และแตกต่างกันในสิ่งที่ต้องรู้ ค่าใช้จ่ายในการดำเนินการ และใครอื่นที่ต้องเดือดร้อน แต่ละแบบสามารถปฏิเสธอุโมงค์ได้โดยไม่ถอดรหัสอะไรเลย ความแตกต่างมีความสำคัญเพราะคำเดียวกัน คือ การบล็อก ถูกใช้กับทั้งสามแบบ
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
ตารางนั้นเป็นแผนที่ต้นทุน ไม่ใช่การจัดอันดับ บัญชีดำเริ่มต้นถูกและดูแลให้แม่นยำแพง บัญชีอนุญาตแลกการค้นพบกับการดูแลชุดที่อนุญาต และการปิดระบบไม่ต้องมีการจำแนกประเภทเลย สิ่งที่แยกพวกมันไม่ใช่ความซับซ้อนทางเทคนิค แต่เป็นที่ที่แต่ละแบบวางความพยายามต่อเนื่อง นโยบายที่ดูเรียบง่ายบนกระดาษมักมีบรรทัดการดูแลซ่อนอยู่อีกที่
บัญชีดำถูกจำกัดด้วยว่าที่อยู่ระบุบริการได้ดีเพียงใด
บัญชีดำปฏิเสธปลายทางที่ระบุได้แล้วและปล่อยที่เหลือให้ใช้ได้ทั่วไป การบังคับใช้ต้องใช้ที่อยู่และพอร์ต ไม่ใช่ข้อความธรรมดา และนั่นคือสิ่งที่ทำให้มันถูกในการดำเนินการช่วงแรก ต้นทุนมาทีหลัง เพราะช่วงหนึ่งที่เคยระบุผู้ให้บริการรายเดียวอาจกลายเป็นที่พักของผู้เช่าที่ไม่เกี่ยวข้องกันเป็นสิบรายในภายหลัง การเปลี่ยนที่อยู่ทุกครั้งบังคับให้แก้ไขบัญชี และรายการที่ล้าสมัยทุกรายการพาการจราจรที่ไม่มีส่วนผิดไปด้วย
ความแม่นยำในแบบจำลองนี้จำกัดด้วยว่าปลายทางระบุบริการได้ดีเพียงใด และจุดปลายทางที่ใช้ร่วมกันและมีผู้ใช้หนาแน่นเป็นการระบุที่ไม่ดี นี่คือข้อจำกัดเชิงโครงสร้าง ไม่ใช่ข้อบกพร่องในการใช้งาน เครื่องมือที่ดีกว่าจึงไม่ลบมันออก และยังอธิบายด้วยว่าทำไมบัญชีดำมักเติบโต: จุดปลายทางใหม่แต่ละจุดดูเหมือนการเพิ่มเล็กน้อย และความเสียหายข้างเคียงก็โตไปพร้อมกับบัญชี
บัญชีอนุญาตย้ายภาระการดูแล
บัญชีอนุญาตกลับค่าตั้งต้นให้เฉพาะปลายทางหรือประเภทการจราจรที่เลือกไว้ล่วงหน้าผ่านได้ ไม่ต้องระบุรายการจุดปลายทางที่ห้ามทุกจุด ซึ่งช่วยเมื่อชุดที่ห้ามมีขนาดใหญ่หรือเปลี่ยนแปลงเร็ว สิ่งที่ต้องมีแทนคือคำจำกัดความที่ดูแลรักษาของสิ่งที่อนุญาต พร้อมการบังคับใช้ที่สอดคล้องกับคำจำกัดความนั้น
หมายเลขพอร์ตเป็นจุดอ่อนตามปกติในคำจำกัดความเช่นนั้น การอนุญาตพอร์ตไม่เหมือนกับการระบุทุกแอปพลิเคชันที่ใช้พอร์ตนั้นได้ บัญชีอนุญาตที่อิงพอร์ตจึงมักยอมให้ผ่านมากกว่าที่ผู้เขียนตั้งใจไว้ ลายนิ้วมือของโปรโตคอลก็มีปัญหาเดียวกันจากอีกมุม เพราะระบุรูปร่างของการจราจร ไม่ใช่เจตนา บัญชีอนุญาตจึงไม่ได้แม่นยำกว่าบัญชีดำโดยอัตโนมัติ มันแม่นยำเกี่ยวกับสิ่งอื่นต่างหาก
การสังเกตครั้งเดียวสนับสนุนอะไรได้และไม่ได้
ข้ออ้างใดๆ เกี่ยวกับการบล็อกควรอ่านด้วยคำถามสี่ข้อในมือ: เครือข่ายเข้าถึงใด ปลายทางใด โปรโตคอลใด และช่วงเวลาสังเกตใด ความล้มเหลวที่เห็นวันนี้บนเครือข่ายมือถือหนึ่งไม่บอกอะไรเกี่ยวกับจุดปลายทางเดียวกันในวันพรุ่งจากอีกเครือข่าย อุโมงค์ที่เคยทำงานได้ครั้งหนึ่งก็ไม่บอกอะไรเกี่ยวกับความพร้อมใช้งานที่ยั่งยืน
รูปร่างของความล้มเหลวสามารถสังเกตได้ก่อนจะตั้งทฤษฎีเกี่ยวกับสาเหตุ การค้างอย่างเงียบ การปฏิเสธทันที และการรีเซ็ตหลังเชื่อมต่อชี้ไปที่รูปแบบการบังคับใช้ที่ต่างกัน และสองคำสั่งแยกมันออกจากกัน
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comการค้างที่สิ้นสุดด้วยการหมดเวลาบ่งชี้การทิ้งอย่างเงียบ การปฏิเสธอย่างรวดเร็วบ่งชี้อุปกรณ์ที่ปฏิเสธบนเส้นทาง และการรีเซ็ตหลังเชื่อมต่อบ่งชี้การแทรกแซงที่มีสถานะ ไม่ใช่เส้นทางที่หายไป การสำรวจเทคนิคการเซ็นเซอร์ของ RFC 9505 อธิบายจุดควบคุมและรูปแบบการแทรกแซงเบื้องหลังรูปร่างเหล่านั้น แต่ไม่มีข้อใดบอกว่านโยบายบังคับใช้กว้างเพียงใด ความยั่งยืนเป็นข้ออ้างที่หนักกว่าการเข้าถึงได้: จุดปลายทาง ซอฟต์แวร์ นโยบาย และบริการที่อนุญาตล้วนเปลี่ยนแปลง ดังนั้นประสิทธิผลแบบไม่มีกำหนดจึงต้องอาศัยสมมติฐานเกี่ยวกับการบังคับใช้ที่ดำเนินต่อไป ไม่ใช่รายการที่อยู่ที่เห็นในช่วงเวลาหนึ่ง