Maaari bang i-block ng network ang iyong VPN nang hindi sinisira ang encryption?
Pinoprotektahan ng encryption ang nilalaman, hindi ang paghahatid. Ihambing ang mga listahan ng pagharang, listahan ng pinapayagan at mga shutdown, pagkatapos ay itanong kung ano ang tunay na masusuportahan ng isang obserbasyon.
Walang operator ang nangangailangan ng session key para pigilan ang isang tunel: itapon ang mga packet sa ruta at mabibigo ito, habang ang cryptography ay nananatiling kasinglakas ng ipinangako ng disenyo nito. Pinoprotektahan ng encryption ang dinadala ng isang usapan, hindi ang pagpayag ng anumang network na dalhin ito. Ang paghihiwalay ng dalawang katangiang ito ay ginagawang tanong tungkol sa kung aling patakaran ang may bisa at gaano kalayo ito umaabot ang isang debate tungkol sa kawalan ng kakayahang harangin. Ang paghahambing sa ibaba ay naghihiwalay ng kakayahang maabot at pagiging lihim, dahil pinagsasama-sama nang tahimik ng karamihan ng tiwalaang pahayag tungkol sa pagharang ng VPN ang dalawang ito.
Ang abot-kamay ay desisyon ng ruta
Ang bawat transportasyon ay nakasalalay sa isang rutang nagpapasa ng mga packet, at ang bawat tanong sa patakaran dito ay nauuwi sa desisyong iyon sa pagpapasa. Ang patakarang nagtatapon ng mga packet ay nagbabago ng kakayahang maabot nang hindi hinahawakan ang pagiging lihim, at ganoon nga ang isang tunel ay maaaring perpektong naka-encrypt at ganap na hindi magamit sa parehong sandali. Wala sa resultang iyon ang nangangailangan ng pagbasag ng cipher o pagkabawi ng key. Nangangailangan lamang ito ng kontrol sa ruta.
Karaniwang nagsisimula ang kalituhan sa dalawang katangiang nagbabahagi ng isang salita. Ang malakas na cryptography ay nagsasabi kung sino ang makakabasa ng isang daloy; wala itong sinasabi tungkol sa kung papayagan ito ng isang intermediate na aparato. Kaya ang pahayag na hindi maharangan ang VPN ay nangangailangan ng pangalawang pahayag sa ilalim nito, katulad ng walang sinuman sa ruta ang handang itapon ang mga packet.
Mga istilo ng pagpapatupad at ang presyo ng bawat isa
Tatlong istilo ang sumasaklaw sa karamihan ng totoong patakaran, at nagkakaiba sila sa kung ano ang kailangang malaman, gastos sa pagpapatakbo at kung sino pa ang nagdurusa. Ang bawat isa sa kanila ay maaaring tumanggi sa isang tunel nang hindi nagde-decrypt ng anuman. Mahalaga ang mga pagkakaiba dahil ang parehong salita, pagharang, ay ginagamit para sa tatlo.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
Ang talahanayang iyon ay mapa ng gastos, hindi ranggo. Ang listahan ng pagharang ay mura upang simulan at mahal upang panatilihing tumpak; ang listahan ng pinapayagan ay ipinagpapalit ang pagtuklas sa pagpapanatili ng pinapayagang set, at ang shutdown ay hindi nangangailangan ng anumang klasipikasyon. Ang naghihiwalay sa kanila ay hindi teknikal na kagalingan kundi kung saan inilalagay ng bawat isa ang patuloy na pagsisikap. Ang patakarang mukhang simple sa papel ay kadalasang may nakatagong linya ng pagpapanatili sa ibang lugar.
Ang listahan ng pagharang ay limitado sa kung gaano kahusay na pinangalanan ng address ang isang serbisyo
Ang listahan ng pagharang ay tumatanggi sa mga destinasyong natukoy na at iniiwan ang iba na karaniwang available. Upang ipatupad ito kailangan ng mga address at port, hindi plaintext, at iyon ang nagpapamura sa pagpapatakbo nito sa simula. Dumarating ang gastos mamaya, dahil ang isang saklaw na dating tumutukoy sa isang provider ay maaaring mamaya magpatira ng dose-dosenang walang kaugnayang nangungupahan. Ang bawat pagbabago ng address ay pumipilit ng pag-edit ng listahan, at ang bawat lumang entry ay nagdadala ng inosenteng trapiko.
Ang katumpakan sa modelong ito ay limitado sa kung gaano kahusay na tinutukoy ng isang destinasyon ang isang serbisyo, at ang abalang pinagsasaluhang endpoint ay mahinang tagatukoy. Ito ay estrukturang limitasyon, hindi depekto sa pagpapatupad, kaya hindi ito inaalis ng mas mahusay na mga kasangkapan. Ipinapaliwanag din nito kung bakit may tendensiyang lumaki ang mga listahan ng pagharang: ang bawat bagong endpoint ay mukhang maliit na dagdag, at lumalaki ang pinsalang pang-iwas kasama ng listahan.
Inililipat ng listahan ng pinapayagan ang pasanin sa pagpapanatili
Binabaliktad ng listahan ng pinapayagan ang default upang ang mga destinasyon o uri ng trapikong pinili nang maaga lamang ang makakadaan. Hindi nito kailangang ilista ang bawat ipinagbabawal na endpoint, na tumutulong kapag malaki ang ipinagbabawal na set o mabilis na nagbabago. Ang kailangan nito sa halip ay isang pinapanatiling depinisyon ng pinapayagan, kasama ang pagpapatupad na tumutugma sa depinisyong iyon.
Ang mga numero ng port ay ang karaniwang mahinang punto sa ganoong depinisyon. Ang pagpayag sa isang port ay hindi kapareho ng pagtukoy sa bawat aplikasyong maaaring gumamit nito, kaya ang listahan ng pinapayagan na nakabatay sa port ay madalas na tumatanggap ng higit sa nilayon ng may-akda nito. Ang mga fingerprint ng protocol ay may parehong problema mula sa ibang anggulo, dahil tinutukoy nila ang hugis ng trapiko at hindi ang intensyon. Ang listahan ng pinapayagan ay hindi awtomatikong mas tumpak kaysa sa listahan ng pagharang; tumpak ito tungkol sa ibang bagay.
Ano ang masusuportahan ng isang obserbasyon at ano ang hindi
Ang anumang pahayag tungkol sa pagharang ay dapat basahin na may apat na tanong sa kamay: aling mga access network, aling mga destinasyon, aling mga protocol at aling yugto ng obserbasyon. Ang pagkabigo na nakita ngayon sa isang mobile network ay walang sinasabi tungkol sa parehong endpoint bukas mula sa ibang network. Kahit ang tunel na minsang gumana ay walang sinasabi tungkol sa tuloy-tuloy na kakayahang maabot.
Ang hugis ng pagkabigo ay maaaring obserbahan bago ka magteorya tungkol sa sanhi nito. Ang tahimik na paghinto, agarang pagtanggi at pag-reset pagkatapos kumonekta ay tumuturo sa magkaibang istilo ng pagpapatupad, at dalawang utos ang naghihiwalay sa kanila:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comAng paghintong nagtatapos sa timeout ay nagmumungkahi ng tahimik na pagtatapon, ang mabilis na pagtanggi ay nagmumungkahi ng aparatong tumatanggi sa ruta, at ang pag-reset pagkatapos kumonekta ay nagmumungkahi ng panghihimasok na may estado at hindi ng nawawalang ruta. Ang sarbey ng RFC 9505 sa mga teknik ng censorship inilalarawan ang mga control point at pattern ng panghihimasok sa likod ng mga hugis na iyon. Gayunman, wala sa kanila ang nagsasabi kung gaano kalawak naipapatupad ang patakaran. Ang pagtatagal ay mas malakas na pahayag kaysa kakayahang maabot: ang mga endpoint, software, patakaran at pinapayagang serbisyo ay nagbabago lahat, kaya ang walang takdang bisa ay nangangailangan ng mga palagay tungkol sa pagpapatuloy ng pagpapatupad at hindi ng listahan ng mga address na nakita sa isang sandali.