VPN chiqish IP manzili tunnelning isboti emas: serverlar nima ko‘radi

Kimdir faqat VPN foydalanuvchilari yeta oladigan xizmatni so‘raydi va aniq yechim chiqish manzillari ro‘yxatiga ruxsat berishdir. Ro‘yxat haqiqiy ish qiladi: kim ulanishi mumkinligini cheklaydi. U tunnel ishlatilganini isbotlamaydi, chunki manzil chiqishni boshqaradigan kishiga tegishli va u operator har kimning trafigini uzatishi mumkin. Bu ikki bayonot orasidagi farq butun dizayn muammosidir.

Server har bir ulanishga bitta manzil ko‘radi

Ulanish manba manzili va manzil porti bilan keladi, tarmoq qatlami aytadigan narsa shu bilan tugaydi. Mijoz tunneldan foydalanganda, sizning tinglovchingizga yetib boradigan paketlar chiqishdan yoki uning oldidagi tarjimadan keladi. Mijozning o‘z manzili, odatda xususiy, hech qachon ko‘rinmaydi. Shuning uchun mijozning mahalliy tarmoq diapazoni uchun yozilgan xavfsizlik devori qoidasi hech narsa qilmaydi.

O‘sha manba manzilidan keyingi hamma narsa ilova ma’lumoti, va ilova unga faqat tasdiqlagan darajada ishona oladi.

Chiqishingiz qanday ko‘rinishini sinab ko‘ring

Qoida yozishdan oldin yo‘lni ikki tomondan ko‘rib chiqing. Mijozning o‘z chiqishiga bo‘lgan qarashi va serverning ulanishga bo‘lgan qarashi muhim bo‘lgan ikki faktdir.

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

Birinchi buyruq mijoz ko‘rinadigan umumiy manzilni bildiradi va har qanday ruxsat ro‘yxatida shu qiymat bo‘lishi kerak. Ikkinchisi serverdagi o‘rnatilgan ulanishlarni ularning sherik manzillari bilan ko‘rsatadi va qoida haqiqatda shu bilan mos keladi. Agar ikkisi sizning aqliy modelingizga mos kelmasa, siyosatni tahrirlashdan oldin modelni tuzating. Bulut ma’lumotlar bazasi xavfsizlik devori, ilova ruxsat ro‘yxati va yuk balanslagichi har biri boshqa tarjima qatlamini ko‘rishi mumkin.

Ikki chiqish to‘plamidan faqat bittasini ro‘yxatga olish mumkin

Bir holat so‘rov paytida tekshiriladi, ikkinchisi esa yo‘q, bu juda boshqacha kafolatlar beradi.

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

E’lon qilingan Tor chiqish ro‘yxatini olish va solishtirish mumkin, ro‘yxatning yoshi va har bir chiqishning o‘z siyosatiga qarab, shuning uchun ma’lum chiqishlarga qarshi rad etish qoidasi bajarilishi va ko‘rib chiqilishi mumkin. Tijorat VPN uchun ekvivalent reyestr yo‘q. Manzillar almashinadi, ko‘plab provayderlar hech narsa e’lon qilmaydi va tunnel hech qachon biror VPNga tegishli bo‘lmagan ijaraga olingan bulut manzilida ishlashi mumkin. Siz tuzgan ro‘yxat kuzatilgan manzillarning bir lahzalik surati, va uni hosting diapazonlariga kengaytirish isbot qo‘shmasdan aloqasiz ish yuklarini qo‘shadi.

Manzillarni siyosat kiritmasi sifatida ishlating, isbot sifatida emas

Qoida nima uchun ekanini hal qiling. Tarmoq cheklovi tor qolishi, kuzatilgan manzilni sanasi va sababi bilan qayd etishi va qonuniy foydalanuvchilarga chiqishi o‘zgarganda tiklanish yo‘lini berishi kerak. Kirishni nazorat qilish autentifikatsiya qilingan hisob yoki imzolangan tokenni talab qiladi, chunki faqat ular so‘rovni shaxsga bog‘laydi. Xavf baholash manzildan bitta ishonchsiz signal sifatida foydalanishi mumkin, uning noto‘g‘ri musbatlarini va ko‘r nuqtalarini qabul qilib. Qoidani mahsulot qarori sifatida yozish halol; uni tunnel mavjudligini tekshirish sifatida yozish unday emas.

Oynali so‘rov, ya’ni VPN orqasidagi foydalanuvchining haqiqiy manzilini tiklash, xuddi shu sabab bilan muvaffaqiyatsiz bo‘ladi: bitta ulanish bitta manzilni olib yuradi va sessiyalar orasidagi o‘zgarish bir nechta izohga mos keladi. Avvalgi qiymatni tarix deb biling, haqiqat deb emas.