Kurumsal güvenlik duvarı VPN içinde neyi görebilir, neyi göremez

Aynı dizüstü evden VPN’e ulaşıyor, ofisten bağlanamıyor; demek ki biri trafiği okuyor. Engelleme ve okuma ayrı yetkilerdir ve yalnızca ikincisi yol üzerinde bir nokta artı istemcinin güvendiği bir sertifika gerektirir. El sıkışmanızı düşüren ara kutu, göndereceğiniz şey hakkında hiçbir şey öğrenmedi. Hangi ikisiyle karşı karşıya olduğunuzu belirlemek işin tamamıdır.

Engelleme ve okuma farklı yetkilerdir

Ret ucuz ve gürültülüdür: soket açılır ve kimse yanıt vermez ya da hemen bir sıfırlama gelir. Bunların hiçbiri denetim anlamına gelmez, çünkü hiçbir yük kablodan geçmedi.

Okumak için korumayı bitiren, kendini sertifikayla kanıtlayan ve ileriye yeni bir bağlantı açan bir uç nokta gerekir. O nokta yol üzerinde olmalı ve istemci ona güvenmelidir. Yalnızca paket ileten bir güvenlik duvarının ne konumu ne de yetkisi vardır.

Sarmalayıcı neyi bedava veriyor

Her tünel paketinin bir dışı vardır ve dış yönlendirilebilir olmalıdır. Bu iki adres, bir protokol, bir port ve bir uzunluk, ayrıca zaman ve hacim demektir. Her yönlendirici bu alanları zaten işler ve NAT eşleme tablosunu tutarlı tutmak için adresi ve portu yeniden yazar. Yük mühürlü kalır, bu yüzden gözlem iki ana bilgisayar arasında bir tünel olduğu gerçeğinde durur.

Ana bilgisayar adı bunların arasında değildir. Siteler başka kapılardan sızar ve en genişi DNS’tir: dizüstü hâlâ yerel çözümleyiciye soruyorsa adlar açıkta görünür.

Zaman ve hacim abartılmadan saygıyı hak eder. Dakikadaki bayt büyük bir aktarımın 14:20’de başladığını gösterebilir; hangi dosyanın taşındığını gösteremez. Bu, davranış hakkında gerçek bir açıklamadır ve içerik okumaktan farklı bir kategoridir.

TLS araya girmesi zaten güvendiğiniz bir kök gerektirir

Denetleyen cihaz TLS’i kırmaz; onu bitirir. İstemciye kuruluşun sahip olduğu bir kökten sertifika yanıt verir ve ikinci bağlantı gerçek hedefe gider. İstemci bunu kabul eder çünkü o kök kendi güven deposunda durur, bu yüzden yönetilen bir dizüstü hiçbir uyarı göstermez. Kriptografi hiç yenilmedi; uç nokta taşındı.

Bu düzenin iz bırakmasının nedeni de budur. Sunulan zincirdeki veren kuruluşa aittir, genel bir CA’ya değil, ve istemci bunu özel araçlar olmadan görebilir. İç kökte biten bir zincir araya girmenin imzasıdır, arıza değil.

VPN kanalı neden bir HTTPS oturumu değildir

VPN veri kanalı denetleyiciye böyle bir dayanak vermez. IKEv2 ve WireGuard kendi el sıkışmalarını ve anahtar çizelgelerini yürütür, bitirilecek TLS yoktur, oysa OpenVPN kontrol kanalı için TLS’i değiştirilmiş bir biçimde ödünç alır, sonra veriyi kendi yöntemiyle korur. HTTPS için inşa edilmiş bir vekil sunucu o oturumu ayrıştırabileceği bir şey olarak tanımaz.

Bir oturumu ayrıştıramayan cihaz onu yine de düşürebilir. Bu yüzden VPN engellemesi genellikle sertifika uyarısı gibi değil zaman aşımı gibi görünür ve bu yüzden bir istisna hiçbir şeyi değiştirmez.

Kendi makinenizden doğrulayın

Sitenin sunduğu zincirle başlayın. Tarayıcıdaki site ayrıntıları vereni gösterir ve komut satırı özet olmadan aynı şeyi bildirir:

openssl s_client -connect example.com:443 -servername example.com

Ardından sayaçlarla reddedilen el sıkışmayı süzülmüş iç trafikten ayırın. Taşıma portunu herhangi bir düşürme kuralından önce kaydedin ve denemeden sonra okuyun:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Dış sokette hiç günlük satırı olmaması el sıkışmanın hiç çıkmadığı anlamına gelir, yani yol tüneli reddediyor. Tamamlanmış el sıkışma ve yalnızca bazı hedeflerin başarısız olması tünelin çalıştığı, içindeki ilkenin çalışmadığı anlamına gelir. İki sonuçtan hiçbiri yükün bir baytını okumayı gerektirmedi.

Gerçekten olan okuma kenarlarda oturur: bölünmüş tünel iç HTTPS’i kurumsal bir vekile verir ve işverenin sahip olduğu yoğunlaştırıcı çıkışta her şeyi açığa çıkarır. Neyle karşılaşırsanız karşılaşın, bağlantıyı zorlamak için sertifika doğrulamasını kapatmayın, çünkü o denetim denetimi bir saldırgandan ayıran tek şeydir.