Ano ang nakikita at hindi nakikita ng corporate firewall sa loob ng VPN

Ang parehong laptop ay nakakaabot sa VPN mula sa bahay at hindi makakonekta mula sa opisina, kaya may nagbabasa ng trapiko. Magkaibang kapangyarihan ang pagharang at pagbasa, at ang pangalawa lang ang nangangailangan ng lugar sa landas at sertipikong pinagkakatiwalaan ng kliyente. Ang middlebox na nagtatapon ng iyong handshake ay walang natutunan tungkol sa ipapadala mo sana. Ang pagpapasya kung alin sa dalawa ang kinakaharap mo ang buong gawain.

Magkaibang kapangyarihan ang pagharang at pagbasa

Murang at maingay ang pagtanggi: bumubukas ang socket at walang sumasagot, o may reset na dumarating agad. Wala sa mga iyon ang nangangahulugang inspeksyon, dahil walang payload na tumawid sa kawad.

Kailangan ng pagbasa ng endpoint na nagtatapos sa proteksyon, nagpapatunay sa sarili sa sertipiko, at nagbubukas ng bagong koneksyon pasulong. Dapat nasa landas ang puntong iyon at pinagkakatiwalaan ng kliyente. Ang firewall na nagpapasa lang ng packet ay walang posisyon ni kredensyal.

Ano ang ibinibigay ng balot nang libre

Bawat packet ng tunel ay may labas, at ang labas ay dapat marutahan. Ibig sabihin, dalawang address, isang protocol, isang port at haba, kasama ang oras at dami. Hinahawakan na ng anumang router ang mga field na iyon, at sinusulat muli ng NAT ang address at port upang manatiling pare-pareho ang mapping table nito. Nananatiling selyado ang payload, kaya humihinto ang obserbasyon sa katotohanang may tunel sa pagitan ng dalawang host.

Wala sa mga iyon ang hostname. Naglalabas ang mga site sa ibang pinto, at ang pinakamalawak ay DNS: kung nagtatanong pa ang laptop sa lokal na resolver, lumalabas ang mga pangalan nang hayagan.

Ang oras at dami ay karapat-dapat sa paggalang nang walang pagmamalabis. Bytes kada minuto ay maaaring magpakita na may malaking paglilipat na nagsisimula sa 14:20; hindi nila maipapakita kung aling file ang gumalaw. Iyon ay tunay na paglalantad tungkol sa pag-uugali, at ibang kategorya kaysa pagbasa ng nilalaman.

Kailangan ng TLS interception ng root na pinagkakatiwalaan mo na

Hindi binabasag ng inspecting appliance ang TLS; tinatapos nito iyon. Sinasagot ang kliyente ng sertipiko mula sa root na pag-aari ng organisasyon, at may pangalawang koneksyon na papunta sa tunay na destinasyon. Tinatanggap ito ng kliyente dahil nasa trust store nito ang root na iyon, kaya walang babala ang pinamamahalaang laptop. Hindi kailanman natalo ang cryptography; inilipat ang endpoint.

Kaya nag-iiwan ng ebidensya ang kaayusang ito. Ang issuer sa inihandang chain ay pag-aari ng organisasyon at hindi ng pampublikong CA, at nakikita ito ng kliyente nang walang espesyal na kasangkapan. Ang chain na nagtatapos sa panloob na root ay lagda ng interception, hindi sira.

Bakit ang VPN channel ay hindi HTTPS session

Ang VPN data channel ay hindi nagbibigay sa inspector ng ganoong tuntungan. Pinapatakbo ng IKEv2 at WireGuard ang sarili nilang handshake at key schedule, walang TLS na tatapusin, samantalang ang OpenVPN ay humihiram ng TLS para sa control channel nito sa binagong anyo bago protektahan ang data sa sariling paraan. Ang proxy na ginawa para sa HTTPS ay hindi kinikilala ang session na iyon bilang isang bagay na maaari nitong i-parse.

Ang aparatong hindi makapag-parse ng session ay maaari pa ring itapon iyon. Kaya madalas na mukhang timeout ang pagharang sa VPN at hindi babala ng sertipiko, at kaya walang binabago ang eksepsyon.

Suriin mula sa sarili mong makina

Magsimula sa chain na inihahandog ng site. Ipinapakita ng mga detalye ng site sa browser ang issuer, at iniuulat ng command line ang parehong bagay nang walang buod:

openssl s_client -connect example.com:443 -servername example.com

Pagkatapos, paghiwalayin ang tinanggihang handshake mula sa sinasala na panloob na trapiko gamit ang mga counter. I-log ang transport port bago ang anumang drop rule at basahin ang mga ito pagkatapos ng pagtatangka:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Walang log line sa panlabas na socket ay nangangahulugang hindi kailanman lumabas ang handshake, kaya tinatanggihan ng landas ang tunel. Ang natapos na handshake na ilang destinasyon lang ang nabigo ay nangangahulugang gumagana ang tunel at hindi ang patakaran sa loob nito. Wala sa dalawang resulta ang nangangailangan ng pagbasa ng isang byte ng payload.

Ang pagbasang talagang nangyayari ay nasa mga gilid: ibinibigay ng split tunnel ang panloob na HTTPS sa corporate proxy, at inilalantad ng concentrator na pag-aari ng employer ang lahat sa labasan. Anuman ang makita mo, huwag patayin ang pagpapatunay ng sertipiko para pilitin ang koneksyon, dahil ang pagsusuring iyon ang tanging bagay na naghihiwalay sa inspeksyon mula sa isang attacker.