Onion xizmati va VPN xizmati: turli kirish modellari

Odamlar Onion xizmatini va faqat VPN orqali kirish mumkin bo'lgan xizmatni bir g'oyaning ikki ko'rinishi deb ta'riflaydi: portni yashir va maxfiy manzilni ulash. Ular manzil nimaga bog'langanligi, kim unga yeta olishi va so'rov kelishidan oldin nima bo'lishi kerakligi bilan farq qiladi. Biri Tor ichidagi uchrashuv joyi, ikkinchisi xususiy tarmoq ichidagi yo'l. Ularni bir-birining o'rnini bosuvchi deb bilish na xususiy, na barqaror loyihalarni keltirib chiqaradi.

Afsona: ikkala loyiha ham faqat yashirin eshik

Umumiy xususiyat haqiqiy, ammo nozik: hech bir loyiha ma'muriy interfeysni to'g'ridan-to'g'ri yetib boriladigan ochiq portga qo'ymaydi. Qolgan hamma narsa ajralib ketadi. Onion manzili xizmatning o'z kalitidan kelib chiqadi, shuning uchun nom shaxsga bog'langan; VPN manzili esa sizni kiritgan tarmoq ichidagi manzil xolos. Biri xizmatni qoplama qatlamida yashiradi, ikkinchisi sizni xususiy topologiyaga kiritadi. Ikkinchisini birinchisining sinonimi deb bilish chalkashlikning boshlanishidir.

Bu xususiyatlarning hech biri ilovaning o'zi uchun xavfsizlik nazorati emas. Yashirin joy orqasidagi dasturiy ta'minotni tuzatmaydi, xususiy yo'l esa kirish sahifasiga autentifikatsiya qo'shmaydi. Ikkala loyiha ham hanuz ilovaning o'z ruxsatlariga muhtoj, ikkalasiga ham hanuz yangilanishlar va tiklash uchun mas'ul kimdir kerak.

Onion manzili aslida nimaga ishora qiladi

Onion manzili v3 versiyasida xizmatning ochiq kalitini kodlaydi, shuning uchun hech kim o'zi boshqarmaydigan xizmatga manzil tanlay olmaydi. Mijoz Tor orqali uchrashuv joyiga ulanadi, xizmat esa o'z tomonidan o'sha nuqtaga yetadi; oddiy chiqish tuguni bu ulanishni xizmatgacha olib bormaydi. Nom — bu shaxs, DNS yozuvi emas.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Shu sababli onion nomiga yo'l yoki hosts yozuvini qo'shish hech qanday foyda bermaydi. Qidiruv mexanizm emas; mexanizm — Tor mijozi va uning zanjirlari. Agar xizmat kichik odamlar guruhi uchun bo'lsa, onion mijoz ruxsati ulanish qabul qilinishidan oldin kalit talab qilishi mumkin, lekin bu hanuz ilovaga kirish emas. Manzilni e'lon qilish ham qasddan qilingan ish, chunki uni bilgan har kim siz cheklamagan bo'lsangiz, ulanishga urinib ko'rishi mumkin.

Agar onion loyihasining yagona sababi autentifikatsiyani sozlashdan qochish bo'lsa, to'xtang. Qoplama qatlami buni bermaydi va siz uni baribir keyinroq qurasiz.

VPN yo'li aslida nima beradi

VPN qurilmani tarmoqqa kiritadi va unga shlyuz yoki quyi tarmoqqacha yo'l beradi. O'sha shlyuz orqasidagi xizmat tunnel hovuzidan manzilni ko'radi va o'zida bor ruxsatni qo'llaydi. Yo'l foydalanuvchi kimligi haqida hech narsa demaydi; paketlar qayerga borishi mumkinligini aytadi.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Bu model boshqariladigan qurilmalari bor tanish guruhga mos keladi, chunki shlyuz qurilma holatini majburlashi va tarmoqni tekshirish mumkin. Anonim yoki tasodifiy mehmonlarga mos kelmaydi, ular avval ro'yxatga olinishi kerak bo'ladi. Ulangan foydalanuvchi nima o'qiy olishini hanuz ilovaning o'z kirishi belgilaydi. Yetish imkoniyatini ruxsat bilan aralashtirish — VPN oxir-oqibat ulanishi mumkin bo'lgan har kimga butun quyi tarmoqni berish yo'lidir.

Auditoriya noma'lum bo'lsa yoki doimiy o'zgarib tursa, to'xtang. Bitta sahifani ko'rsatish uchun notanishlarni xususiy tarmoqqa ro'yxatga olish xizmat e'lon qilishga qaraganda katta majburiyat.

Ikkalasi orasidagi tanlov va o'zgarmas narsa

Auditoriya texnik bo'lsa, xizmatning umuman ochiq manzili bo'lmasligi kerak bo'lsa va Tor mijozining talablarini qabul qila olsangiz, onion modelini tanlang. Auditoriya qurilmalarini siz boshqaradigan aniq guruh bo'lsa va ularning kirishini tarmoq darajasida qayd etishni istasangiz, VPN modelini tanlang. Hech bir tanlov ilova autentifikatsiyasi, yamoqlar yoki tiklash yo'li zaruratini olib tashlamaydi. Hech biri foydalanuvchilaringiz uchun muhim ma'noda o'z-o'zidan xususiyroq emas.

Ikkala loyihada ham xizmatga kim yeta olishini, qanday aniqlanishini va kirish ma'lumoti yo'qolganda nima bo'lishini yozib qo'ying. Onion xizmati javobi uning mijoz ruxsat kalitlari va manzilning o'zini o'z ichiga oladi; VPN javobi hisob, qurilma va shlyuz siyosatini o'z ichiga oladi. Bular har xil ro'yxatlar va ulardan faqat bittasi keyingi administratorga ayon bo'ladi.

Taqqoslash ilova boshlanadigan joyda tugaydi. Yashirin manzil va xususiy yo'l transport tanlovidir, ilova esa so'rovga nima ruxsat berilganini hanuz hal qilishi kerak. O'sha qarorlarni alohida hujjatlarda saqlang, shunda ikkala loyihadan hech biri ikkinchisining ishini jimgina o'zlashtirmaydi.