Korporativ xavfsizlik devori VPN ichida nimani ko‘ra oladi, nimani ko‘ra olmaydi

O‘sha noutbuk uydan VPN ga yetadi, ofisdan esa ulana olmaydi, demak kimdir trafikni o‘qiyapti. Bloklash va o‘qish alohida vakolatlardir va faqat ikkinchisiga yo‘ldagi nuqta hamda mijoz ishonadigan sertifikat kerak. Sizning qo‘l berishingizni tashlab yuboradigan oraliq quti siz yubormoqchi bo‘lgan narsa haqida hech narsa o‘rganmagan. Shu ikkisidan qaysi biriga duch kelayotganingizni aniqlash — butun ish.

Bloklash va o‘qish turli vakolatlardir

Rad etish arzon va shovqinli: soket ochiladi va hech kim javob bermaydi, yoki darhol qayta o‘rnatish keladi. Bularning hech biri tekshiruvni bildirmaydi, chunki hech qanday yuk simdan o‘tmagan.

O‘qish uchun himoyani tugatadigan, o‘zini sertifikat bilan isbotlaydigan va oldinga yangi ulanish ochadigan oxirgi nuqta kerak. Bu nuqta yo‘lda turishi va mijoz ishonishi kerak. Faqat paketlarni uzatadigan xavfsizlik devorida na o‘rin, na ruxsatnoma bor.

O‘ram tekinga nima beradi

Har bir tunnel paketining tashqi tomoni bor va tashqi tomon marshrutlanadigan bo‘lishi kerak. Bu ikki manzil, protokol, port va uzunlik, shuningdek vaqt va hajm degani. Har qanday marshrutizator bu maydonlarni allaqachon boshqaradi, NAT esa o‘z xaritalash jadvalini izchil saqlash uchun manzil va portni qayta yozadi. Yuk muhrlangan holda qoladi, shuning uchun kuzatuv ikki xost o‘rtasida tunnel borligi faktida to‘xtaydi.

Xost nomi ular orasida yo‘q. Saytlar boshqa eshiklardan oqib chiqadi va eng kengi DNS: agar noutbuk hali ham mahalliy hal qiluvchidan so‘rasa, nomlar ochiq ko‘rinadi.

Vaqt va hajm ortiqcha bo‘yab yuborilmasdan hurmatga loyiq. Daqiqada bayt katta uzatish 14:20 da boshlanishini ko‘rsata oladi; qaysi fayl ko‘chganini ko‘rsata olmaydi. Bu xatti-harakat haqida haqiqiy oshkor qilish va tarkibni o‘qishdan boshqa toifa.

TLS aralashuvi siz allaqachon ishonadigan ildizni talab qiladi

Tekshiruvchi qurilma TLS ni buzmaydi; uni tugatadi. Mijozga tashkilot egalik qiladigan ildizdan sertifikat javob beradi va ikkinchi ulanish haqiqiy manzilga boradi. Mijoz buni qabul qiladi, chunki o‘sha ildiz uning ishonch omborida turadi, shuning uchun boshqariladigan noutbuk hech qanday ogohlantirish ko‘rsatmaydi. Kriptografiya hech qachon yengilmagan; oxirgi nuqta ko‘chirilgan.

Shuning uchun bu tartib dalil qoldiradi. Taqdim etilgan zanjirdagi chiqaruvchi ommaviy CA emas, tashkilotga tegishli, va mijoz buni maxsus asboblarsiz ko‘ra oladi. Ichki ildizda tugaydigan zanjir aralashuvning imzosi, nosozlik emas.

Nega VPN kanali HTTPS sessiyasi emas

VPN ma’lumot kanali tekshiruvchiga bunday tayanch bermaydi. IKEv2 va WireGuard o‘z qo‘l berishlari va kalit jadvallarini yuritadi, tugatish uchun TLS yo‘q, holbuki OpenVPN o‘z boshqaruv kanali uchun TLS ni o‘zgartirilgan shaklda qarzga oladi, so‘ng ma’lumotlarni o‘z usulida himoya qiladi. HTTPS uchun qurilgan proksi bu sessiyani u tahlil qila oladigan narsa sifatida tanimaydi.

Sessiyani tahlil qila olmaydigan qurilma uni baribir tashlab yuborishi mumkin. Shuning uchun VPN bloklanishi odatda sertifikat ogohlantirishiga emas, vaqt tugashiga o‘xshaydi, va shuning uchun istisno hech narsani o‘zgartirmaydi.

O‘z mashinangizdan tekshiring

Sayt taqdim etadigan zanjirdan boshlang. Brauzerdagi sayt tafsilotlari chiqaruvchini ko‘rsatadi va buyruq satri xulosasiz xuddi shuni bildiradi:

openssl s_client -connect example.com:443 -servername example.com

So‘ngra hisoblagichlar bilan rad etilgan qo‘l berishni filtrlangan ichki trafikdan ajrating. Har qanday tashlash qoidasidan oldin transport portini yozib oling va urinishdan keyin ularni o‘qing:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Tashqi soketda hech qanday jurnal satri yo‘qligi qo‘l berish hech qachon chiqmaganini bildiradi, demak yo‘l tunnelni rad etmoqda. Tugallangan qo‘l berish va faqat ba’zi manzillar muvaffaqiyatsiz bo‘lishi tunnel ishlayotganini, ichidagi siyosat ishlamayotganini bildiradi. Ikki natijaning hech biri yukning bir baytini o‘qishni talab qilmadi.

Haqiqatan sodir bo‘ladigan o‘qish chekkalarda: bo‘lingan tunnel ichki HTTPS ni korporativ proksiga topshiradi va ish beruvchiga tegishli konsentrator chiqishda hammasini ochib beradi. Nima topsangiz ham, ulanishni majburlash uchun sertifikat tekshiruvini o‘chirmang, chunki o‘sha tekshiruv tekshiruvni hujumchidan ajratadigan yagona narsa.