Bir ağ, şifrelemeyi kırmadan VPN'inizi engelleyebilir mi?
Şifreleme içeriği korur, teslimatı değil. Engelleme listelerini, izin listelerini ve kapatmaları karşılaştırın, sonra tek bir gözlemin gerçekten neyi destekleyebileceğini sorun.
Hiçbir işletmeci bir tüneli durdurmak için oturum anahtarına ihtiyaç duymaz: yoldaki paketleri atın, tünel başarısız olur; şifreleme ise tasarımının vaat ettiği kadar güçlü kalır. Şifreleme, bir konuşmanın taşıdığını korur, herhangi bir ağın onu taşıma isteğini değil. Bu iki özelliği ayırmak, engellenemezlik tartışmasını hangi politikanın yürürlükte olduğu ve ne kadar uzağa eriştiği sorusuna dönüştürür. Aşağıdaki karşılaştırma kullanılabilirlik ile gizliliği ayrı tutar, çünkü VPN engellemesine dair iddialı ifadelerin çoğu ikisini sessizce birleştirir.
Erişilebilirlik, yolun verdiği karardır
Her taşıma, paketleri ileten bir yola bağlıdır ve buradaki her politika sorusu o iletme kararına indirgenir. Paketleri düşüren bir kural, gizliliğe dokunmadan kullanılabilirliği değiştirir; bir tünel tam da böylece kusursuz şifrelenmiş ve aynı anda tamamen kullanılamaz olabilir. Bu sonucun hiçbir yanı bir şifrenin kırılmasını veya anahtarın geri alınmasını gerektirmez. Yalnızca yol üzerinde denetim gerektirir.
Karışıklık genellikle iki özelliğin tek bir sözcüğü paylaşmasıyla başlar. Güçlü kriptografi bir akışı kimin okuyabileceğini söyler; ara bir aygıtın onu geçirip geçirmeyeceği hakkında hiçbir şey söylemez. Bu yüzden bir VPN'in engellenemeyeceği iddiası, altında ikinci bir iddiaya ihtiyaç duyar: yolda kimsenin paketleri atmaya istekli olmaması.
Uygulama stilleri ve her birinin bedeli
Üç stil gerçek politikaların çoğunu kapsar ve ne bilmeleri gerektiği, işletme maliyetleri ve başka kimin zarar gördüğü bakımından farklılaşırlar. Her biri hiçbir şeyin şifresini çözmeden bir tüneli reddedebilir. Farklar önemlidir çünkü engelleme sözcüğü üçü için de kullanılır.
| Style | Default | What it must know | Who else is affected |
|---|---|---|---|
| Blocklist | Allow, minus listed destinations | Addresses and ports of known endpoints | Unrelated tenants on a listed address |
| Allowlist | Deny, plus approved destinations | A maintained definition of permitted traffic | Anything outside the approved set |
| Shutdown | Deny broadly for a period | Nothing about the protocol | Ordinary services along the same path |
O tablo bir maliyet haritasıdır, sıralama değil. Engelleme listesi başlaması ucuz, doğru tutulması pahalıdır; izin listesi keşfi izin verilen kümenin bakımıyla değişir ve tam kapatma hiçbir sınıflandırmaya ihtiyaç duymaz. Onları ayıran şey teknik incelik değil, her birinin sürekli çabayı nereye koyduğudur. Kâğıt üzerinde basit görünen bir politikanın genellikle başka bir yerde gizli bir bakım satırı vardır.
Bir engelleme listesi, bir adresin bir hizmeti ne kadar iyi adlandırdığıyla sınırlıdır
Engelleme listesi, zaten tanımlanmış hedefleri reddeder ve geri kalanı genellikle erişilebilir bırakır. Uygulamak için düz metin değil, adresler ve bağlantı noktaları gerekir; onu başlangıçta ucuz kılan budur. Maliyet sonra gelir, çünkü bir zamanlar tek bir sağlayıcıyı tanımlayan bir aralık sonradan düzinelerce ilgisiz kiracıyı barındırabilir. Her adres değişikliği liste düzenlemesini zorunlu kılar ve her eski kayıt masum trafiği yanında götürür.
Bu modelde kesinlik, bir hedefin bir hizmeti ne kadar iyi tanımladığıyla sınırlıdır ve yoğun paylaşılan bir uç nokta kötü bir tanımlayıcıdır. Bu, uygulama hatası değil yapısal bir sınırdır, bu yüzden daha iyi araçlar onu ortadan kaldırmaz. Engelleme listelerinin neden büyüme eğiliminde olduğunu da açıklar: her yeni uç nokta küçük bir ekleme gibi görünür ve yan hasar listeyle birlikte büyür.
İzin listesi bakım yükünü taşır
İzin listesi varsayılanı tersine çevirir, böylece yalnızca önceden seçilmiş hedefler veya trafik türleri geçebilir. Her yasak uç noktayı listelemek zorunda değildir; bu, yasak küme büyük olduğunda veya hızla değiştiğinde yardımcı olur. Bunun yerine izin verilenin bakımı yapılan bir tanımına ve bu tanımla uyuşan uygulamaya ihtiyaç duyar.
Bağlantı noktası numaraları böyle bir tanımın olağan zayıf noktasıdır. Bir bağlantı noktasına izin vermek, onu kullanabilecek her uygulamayı tanımlamakla aynı şey değildir; bu yüzden bağlantı noktası temelli bir izin listesi çoğu zaman yazarının amaçladığından fazlasını kabul eder. Protokol parmak izleri de başka bir açıdan aynı sorunu yaşar, çünkü trafiğin biçimini tanımlarlar, niyetini değil. Bu nedenle izin listesi otomatik olarak engelleme listesinden daha kesin değildir; başka bir şey hakkında kesindir.
Tek bir gözlemin destekleyebileceği ve destekleyemeyeceği şeyler
Engellemeye dair her iddia elde dört soruyla okunmalıdır: hangi erişim ağları, hangi hedefler, hangi protokoller ve hangi gözlem dönemi. Bugün bir mobil ağda görülen bir başarısızlık, yarın başka bir ağdan aynı uç nokta hakkında hiçbir şey söylemez. Bir kez çalışmış bir tünel de sürekli kullanılabilirlik hakkında hiçbir şey söylemez.
Bir başarısızlığın biçimi, nedeni hakkında teori kurmadan önce gözlemlenebilir. Sessiz takılma, anında ret ve bağlandıktan sonra sıfırlama farklı uygulama stillerine işaret eder ve iki komut bunları ayırır:
curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.comZaman aşımıyla biten takılma sessiz atmayı, hızlı ret yolda reddeden bir aygıtı, bağlandıktan sonra sıfırlama ise eksik bir yönlendirme yerine durumlu müdahaleyi düşündürür. RFC 9505 sansür teknikleri araştırması bu biçimlerin arkasındaki denetim noktalarını ve müdahale örüntülerini açıklar. Ancak hiçbiri politikanın ne kadar geniş uygulandığını söylemez. Kalıcılık, erişilebilirlikten daha güçlü bir iddiadır: uç noktalar, yazılım, politikalar ve izin verilen hizmetler hepsi değişir; bu yüzden belirsiz bir etkinlik, tek bir anda görülen adresler listesini değil, uygulamanın süreceğine dair varsayımları gerektirir.