Yo‘naltirilgan VPN porti: tashrif buyuruvchilar va provayder nimalarni ko‘radi

Portni yo‘naltirish begonalarga provayderning ommaviy manzili orqali xizmatga yo‘l beradi. Bu yagona o‘zgarish bir vaqtda ham ochiqlikka, ham tanilishga ta’sir qiladi va hech biri xizmatni boshqarayotgan shaxsning ismini e’lon qilmaydi. Ikkalasini alohida saqlash 'yo‘naltirishni' anonimlik deb va uni identifikatsiya deb qabul qilishning qarama-qarshi xatolaridan saqlaydi. Uch savol ularni aniq ajratadi va javoblar turli dalillardan keladi.

Uch obyekt, uch xil savol

Ommaviy manzilni uning orqasida javob beradigan ilovadan alohida saqlang va ikkalasini ham bu ishni yuritayotgan shaxs yoki tashkilotdan alohida saqlang. Har birining o‘z auditoriyasi va o‘z dalillari bor. Ularni aralashtirish tartibli eshitiladigan va xato xulosalar beradi.

Ularni shu tartibda ko‘rib chiqing. Birinchisi yetib borish savoli, ikkinchisi ilova identifikatsiyasi savoli, uchinchisi esa birinchi ikkitasi faqat qisman yoritadigan nisbatlash savoli. Kimdir portni yo‘naltirish shaxsiymi deb so‘rasa, uchdan qaysinisini nazarda tutayotganini so‘rang. Javoblar haqiqatan farq qiladi va siyosat sahifasi odatda ulardan faqat bittasini ko‘rib chiqadi.

Tashrif buyuruvchi oxirgi nuqtalar o‘rtasida nimani bog‘lay oladi

Tashrif buyuruvchi oxirgi nuqtaga ulanadi va ilova qonuniy ravishda taqdim etadigan narsani ko‘radi: 'xost nomi', sertifikat nomi, kirish sahifasi, e’lon qilingan mazmun. Bu tafsilotlar xizmatning odatiy kirish manzili tunnel ortida yashirilgan bo‘lsa ham xizmatni aniqlaydi. Bir xil nomdagi saytni taqdim etadigan ikki oxirgi nuqta kuzatuvchilarga ularni bog‘lash uchun asos beradi. Bu xulq-atvorda hech qanday sizib chiqish yo‘q, chunki ilova ko‘rinish uchun yaratilgan.

Ikki oxirgi nuqta o‘rtasida sertifikatlar, qayta yo‘naltirishlar va sahifa mazmunining mos kelishi ularning bir xizmatga tegishli ekanining kuchli belgisidir. Boshqa yozuv ikkalasini bog‘lamaguncha bu xizmat haqidagi bayonot bo‘lib qoladi, inson haqida emas.

IETF ning maxfiylik yo‘riqnomasi doimiy identifikatorlar o‘zaro ta’sirlarni vaqt bo‘yicha korrelyatsiya qilishga qanday imkon berishini tavsiflaydi. Korrelyatsiya nisbatlash emas, chunki bitta xizmatni bir necha kishi boshqarishi mumkin va manzil bog‘lanmagan abonentlar o‘rtasida ko‘chishi mumkin. Aynan shu farq korrelyatsiya natijasining ayblovga aylanishiga yo‘l qo‘ymaydi.

Yo‘naltirish provayderi nimani bilishi kerak

Kiruvchi ulanishni yetkazish uchun provayder tizimi ommaviy kirish nuqtasi va ichki manzil o‘rtasidagi faol munosabatni saqlashi kerak. Bu operatsion fakt tashrif buyuruvchi ko‘radigan narsadan farq qiladi va provayder saqlashni tanlagan narsadan ham yana farq qiladi. Siyosat sahifasini o‘qiyotganda ikki savolni alohida saqlang, chunki biri muqarrar, ikkinchisi esa qaror. Ko‘rish tarixi saqlanmaydi degan bayonot xaritalash tarixi haqida hech narsa demaydi.

Tarixiy xaritalashlar, hisob bog‘lanishlari yoki ulanish yozuvlari saqlanib qoladimi, bu provayderning haqiqiy siyosati va amalga oshirilishiga oid savol. Yo‘naltirish har bir toifa yozilishini isbotlamaydi. Xaritalash bekor qilingandan keyin qaysi maydonlar qolishini va qancha vaqt qolishini aniq so‘rang.

Kiruvchi yetib borish mijozning chiquvchi marshrutlashidan, DNS dan va nosozlik xulq-atvoridan ham alohida. Xaritalash qo‘shish mijozning qolgan trafigi qanday chiqishini tavsiflamaydi.

Xaritalash qancha davom etishi ochiqlikni o‘zgartiradi

Xaritalash sessiya davomida, band qilish uchun yoki uni o‘zgartiradigan provayder siyosati ostida saqlanib qolishi mumkin. Na doimiy tayinlash, na uzluksiz aylanish taxmin qilinmasligi kerak; mahsulotning hujjatlashtirilgan xulq-atvorini o‘qing va kuzatganingizni yozib qo‘ying. Bir hafta oraliq bilan ikki kuzatuv 'aylanish' haqida mahsulot sahifasidagi har qanday marketing jumlasidan ko‘proq gapiradi. Kuzatilgan intervalni yozuvlaringizda oxirgi nuqta yoniga yozing, chunki interval ochiqlikning bir qismi.

Umr davomiyligi qaysi korrelyatsiya mumkinligini o‘zgartiradi. Barqaror oxirgi nuqta bitta xizmatni uzoq muddat kuzatishga chorlaydi, aylanadigan nuqta esa har bir kuzatuvni oldingisiga bog‘lashni qiyinlashtiradi. Ikkala xususiyat ham provayder yozuvlari haqida kafolat emas va hech biri xizmatning o‘zi nimalarni e’lon qilishini hal qilishning o‘rnini bosmaydi.

Ataylab e’lon qiling, so‘ngra ikkala eshikni yoping

Provayder kerakli protokolga ruxsat berishiga, maqsadli tinglovchi siz nazarda tutgan shaxs ekaniga va xost hamda ilova nazorati hali ham kirishni cheklashiga ishonch hosil qiling. E’lon qilishdan oldin xizmat begonaga nimalarni taqdim etishini ko‘ring. Bu ikki buyruq tashrif buyuruvchi oladigan sertifikat va sarlavhalarni ko‘rsatadi.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Biror narsani e’lon qilish uning boshqaruv sahifalarini ochish yoki ilovaning kirishini tashlab yuborish uchun asos bo‘lmaydi, tarjima esa hech qachon bo‘lmagan xizmatga TLS bermaydi. Trafik qanday kelishidan qat’i nazar shifrlangan protokol va uning server identifikatsiyasi tekshiruvlarini joyida saqlang. So‘ngra javob sarlavhalarini tekshiring, chunki 'banner' yoki disk raskadrovka sahifasi begonaga xizmat niyat qilganidan ko‘proq narsa aytishi mumkin. Ikki buyruq qaytaradigan narsa kuzatuvchi oladigan o‘sha ko‘rinishdir.

Xizmatni to‘xtatish ikki yopilishni bildiradi, bittasini emas: xaritalashni uning egasi orqali qaytarib oling, so‘ngra tinglovchi va huquqni alohida bandlar sifatida ko‘rib chiqing. Xatcho‘pga qo‘yilgan oxirgi nuqta javob berishni to‘xtatsa, u hech qanday hisob ma’lumotini bekor qilmaydi va allaqachon yetkazilgan ma’lumotni qaytarmaydi.