Tunnel nimani shifrlaydi va nimani o'qiladigan qoldiradi

Tunnelingiz ishlayapti, bir varaqda yashil qulf ko'rinadi, boshqa varaqdagi oddiy HTTP sahifa esa hanuz ulanish xavfsiz emasligi haqida ogohlantiradi. Bu birikma odamlarni chalkashtiradi, chunki ikki himoya turli masofalarni qamrab oladi. VPN o'z uchlari orasidagi trafikni himoya qiladi, chiqishdan narida trafik yana oddiy bo'ladi. HTTPS esa bitta ulanishni veb-saytgacha himoya qiladi. Bu ikki faktni yonma-yon qo'yish VPN aslida nimani yashirishi haqidagi savollarning ko'pini tushuntiradi.

Tunnel aslida nimani qamrab oladi

Mijoz va VPN hamkori o'rtasida kuzatuvchi o'qiladigan so'rov emas, shifrlangan baytlarni ko'radi. Bu tunnel kesib o'tadigan segmentni qamrab oladi, va bu odatda siz nazorat qilmaydigan qismdir. U VPN chiqishi bilan veb-sayt o'rtasidagi bog'lanishgacha yetib bormaydi, chunki tunnel chiqishda tugadi. Baytlar tunnel tugagan paytdan boshlab yana o'qiladi. Bunda hech narsa noto'g'ri sozlama emas.

Chiqish shifrni ochib, uzatuvchi mashinadir va VPN aynan shu uchun. U uzatgan hamma narsa qabul qilingan shaklda ko'rinadi, shuning uchun oddiy HTTP so'rov chiqishdan keyin ham oddiy matn bo'lib qoladi.

Buni kamchilik emas, xususiyat deb o'qing. Shifrlash bitta yo'l bilan cheklangan, yo'l esa xizmat boshlanadigan joyda tugaydi.

Kalitlar, nonce va yaxlitlik oddiy so'zlar bilan

Davom etayotgan trafik simmetrik kriptografiya bilan himoyalanadi, ikki tomon ham qo'l berib ko'rishishda kalit materialini oladi yoki hosil qiladi. RFC 5116 umumiy tarzda tasvirlagan autentifikatsiyalangan shifrlash bir konstruksiyada maxfiylik va yaxlitlikni beradi. Qabul qiluvchi o'zgartirilgan baytlarni shunchaki o'qiy olmaslik emas, rad etadi, va odamlar shifrlashni aralashtirish deb o'ylaganda aynan shu qismni unutadi.

Kalitlar shu almashinuvdan keladi, kirishda terilgan paroldan emas. Parol shaxsni tasdiqlaydi, so'ng protokol sessiya materialini o'rnatadi. Efemer kalit almashinuvi oldinga qarab maxfiylikni beradi, shuning uchun yozib olingan sessiya keyin uzoq muddatli kalit oshkor bo'lsa ham o'qilmaydigan bo'lib qoladi.

Spetsifikatsiyadagi katta raqam bu savollarning birortasiga javob bermaydi, bog'liq bo'lmagan algoritmlar orasidagi raqamlarni solishtirish esa reyting emas. Buning o'rniga kalit almashinuvi nima berishini so'rang.

Tunnel qayerda tugaydi

Tunnelni tugatuvchi uch u uzatgan narsani o'qiy oladi. Bu korporativ shlyuz, tijorat provayderi va o'zi joylashtirgan server uchun birdek to'g'ri. Bu dizayn, uning kamchiligi emas. Kuchli kriptografiya buzilgan uchni unga keladigan ochiq matnni o'qishdan to'xtata olmaydi, chunki himoya aynan uchda to'xtaydi.

HTTPS bu nuqtadan keyin ham davom etadi, shu sababli sayt VPNsiz ham dushman tarmoqda xavfsiz bo'lishi mumkin. Ikki himoya birinchi segmentda ustma-ust tushadi, chiqishdan keyin esa faqat bittasi davom etadi.

Ulanish ishlashi uchun sertifikat tekshiruvini zaiflashtirish tunnel sinovi emasligining sababi ham shu. U boshqa himoyani o'chiradi va sizni boshlaganingizdan kamroq narsa bilan qoldiradi.

Nega anonimlik boshqa mahsulot

Manzillar, vaqt va hajm tunnel tashqarisida kuzatiladigan bo'lib qoladi. Kuzatuvchi trafik VPN uchiga oqayotganini, taxminan qancha va qachon ekanini ko'ra oladi. Mazmun o'qilmas bo'lishi mumkin, ammo naqsh hali ham ma'lumot beradi.

Provayder ham sizning tarmog'ingizdan boshqa joyda o'tiradi, bu kuzatuvchining o'zgarishi, kuzatuvning olib tashlanishi emas. Cookie fayllar, kirishlar va hisob identifikatorlari avvalgidek ishlaydi, chunki tunnel ularni o'zgartirishga hech qachon va'da bermagan.

Agar talab shu bo'lsa, provayderni uning jurnal siyosati va yurisdiksiyasi bo'yicha tanlang, keyin siyosatning o'zini o'qing. Marketing sahifalari bu savolga kimdir tekshira oladigan tarzda kamdan-kam javob beradi.

Tunnel va saytni alohida tekshiring

Avval tunnelni tekshiring, qaysi himoyani sinayotganingizni bilish uchun. Keyin saytning o'z uzatishini tekshiring va biri ikkinchisini anglatadi deb o'ylash o'rniga ikki natijani solishtiring. Oddiy HTTP tashuvchi tunnel va HTTPS taqdim etuvchi sayt ikkalasi ham sozlanganidek ishlaydi.

Tekshiruvlarni sinashga ruxsat berilgan xostga qarshi o'tkazing va xulosani emas, chiqishni o'qing.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Tunnel ishlab, sayt HTTPS bo'lsa, birinchi segmentda ikki himoyangiz, ikkinchisida bittasi bor. Sayt oddiy HTTP bo'lsa, ikkinchi segment u yerda bo'lgan har kimga, so'rovni uzatgan chiqish ham qo'shilgan holda o'qiladi. Ikkisidan qaysi biri yetishmayotganini bilish butun diagnostikadir va buning uchun yangi mijoz emas, ikki buyruq kerak.