Một mạng có thể chặn VPN của bạn mà không phá vỡ mã hóa không?

Không nhà vận hành nào cần khóa phiên để dừng một đường hầm: hãy bỏ các gói tin trên đường đi và nó thất bại, trong khi mật mã vẫn mạnh đúng như thiết kế của nó đã hứa. Mã hóa bảo vệ thứ mà cuộc trò chuyện mang theo, không phải thiện chí của bất kỳ mạng nào trong việc mang nó. Tách hai thuộc tính đó ra biến cuộc tranh luận về khả năng không thể chặn thành câu hỏi về chính sách nào đang có hiệu lực và nó vươn xa đến đâu. So sánh dưới đây giữ tính sẵn có và tính bí mật riêng rẽ, vì hầu hết những khẳng định tự tin về việc chặn VPN đều lặng lẽ gộp hai điều đó lại.

Khả năng tiếp cận là quyết định của tuyến đường

Mọi phương thức truyền tải đều phụ thuộc vào một tuyến đường chuyển tiếp gói tin, và mọi câu hỏi chính sách ở đây đều quy về quyết định chuyển tiếp đó. Một quy tắc loại bỏ gói tin thay đổi tính sẵn có mà không đụng đến tính bí mật, và đó chính là cách một đường hầm có thể được mã hóa hoàn hảo và đồng thời hoàn toàn không dùng được. Không phần nào của kết quả đó đòi phá một mật mã hay khôi phục một khóa. Nó chỉ đòi kiểm soát tuyến đường.

Sự nhầm lẫn thường bắt đầu khi hai thuộc tính dùng chung một từ. Mật mã mạnh nói về việc ai có thể đọc một luồng; nó không nói gì về việc một thiết bị trung gian có cho nó đi qua hay không. Vì vậy khẳng định rằng không thể chặn VPN cần một khẳng định thứ hai bên dưới, đó là không ai trên tuyến đường sẵn lòng bỏ các gói tin.

Các kiểu thực thi và cái giá của từng kiểu

Ba kiểu bao quát phần lớn chính sách thực tế, và chúng khác nhau ở điều phải biết, chi phí vận hành và ai khác phải chịu đựng. Mỗi kiểu đều có thể từ chối một đường hầm mà không giải mã bất cứ thứ gì. Những khác biệt quan trọng vì cùng một từ, chặn, được dùng cho cả ba.

Bảng đó là bản đồ chi phí, không phải bảng xếp hạng. Danh sách chặn rẻ để bắt đầu và đắt để giữ chính xác; danh sách cho phép đổi việc phát hiện lấy việc bảo trì tập được phép, và một lần ngắt không cần bất kỳ phân loại nào. Điều tách chúng ra không phải sự tinh tế kỹ thuật mà là nơi mỗi cách đặt nỗ lực thường xuyên. Một chính sách trông đơn giản trên giấy thường có một dòng bảo trì ẩn ở nơi khác.

Danh sách chặn bị giới hạn bởi mức độ một địa chỉ định danh một dịch vụ

Danh sách chặn từ chối những đích đã được nhận diện và để phần còn lại thường được truy cập. Để thực thi cần địa chỉ và cổng, không phải văn bản thuần, và đó là điều khiến nó rẻ khi vận hành lúc đầu. Chi phí đến sau, vì một dải từng nhận diện một nhà cung cấp có thể sau đó chứa hàng chục khách thuê không liên quan. Mỗi lần đổi địa chỉ buộc phải sửa danh sách, và mỗi mục cũ mang theo lưu lượng vô tội.

Độ chính xác trong mô hình này bị giới hạn bởi mức độ một đích nhận diện một dịch vụ, và một điểm cuối dùng chung đông đúc là bộ nhận diện tồi. Đây là giới hạn cấu trúc chứ không phải lỗi triển khai, nên công cụ tốt hơn không xóa bỏ nó. Điều này cũng giải thích vì sao danh sách chặn có xu hướng lớn dần: mỗi điểm cuối mới trông như một bổ sung nhỏ, và thiệt hại kèm theo lớn lên cùng danh sách.

Danh sách cho phép chuyển gánh nặng bảo trì

Danh sách cho phép đảo ngược mặc định để chỉ những đích hoặc loại lưu lượng được chọn trước mới đi qua. Nó không phải liệt kê mọi điểm cuối bị cấm, điều này giúp ích khi tập bị cấm lớn hoặc thay đổi nhanh. Thay vào đó nó cần một định nghĩa được duy trì về điều được phép, cùng với việc thực thi khớp với định nghĩa đó.

Số cổng là điểm yếu thường thấy trong một định nghĩa như vậy. Cho phép một cổng không giống với việc nhận diện mọi ứng dụng có thể dùng nó, nên danh sách cho phép dựa trên cổng thường nhận vào nhiều hơn tác giả của nó dự định. Dấu vân tay giao thức cũng có vấn đề tương tự từ một góc khác, vì chúng nhận diện hình dạng của lưu lượng chứ không phải ý định. Vì thế danh sách cho phép không tự động chính xác hơn danh sách chặn; nó chính xác về một thứ khác.

Một quan sát có thể chứng minh điều gì và không thể chứng minh điều gì

Mọi khẳng định về việc chặn nên được đọc với bốn câu hỏi trong tay: mạng truy cập nào, đích nào, giao thức nào và khoảng thời gian quan sát nào. Một thất bại thấy hôm nay trên một mạng di động không nói gì về cùng điểm cuối đó ngày mai từ một mạng khác. Một đường hầm từng hoạt động một lần cũng không nói gì về tính sẵn có lâu dài.

Hình dạng của một thất bại có thể quan sát trước khi lý thuyết hóa về nguyên nhân của nó. Treo lặng lẽ, từ chối ngay lập tức và đặt lại sau khi kết nối chỉ ra các kiểu thực thi khác nhau, và hai lệnh phân biệt chúng:

curl -sS -m 8 https://vpn.example.com/ -o /dev/null -w "%{http_code}\n"
traceroute -n -m 8 vpn.example.com

Treo kết thúc bằng hết thời gian cho thấy việc bỏ lặng lẽ, từ chối nhanh cho thấy một thiết bị từ chối trên tuyến đường, và đặt lại sau khi kết nối cho thấy can thiệp có trạng thái chứ không phải một tuyến thiếu. Khảo sát RFC 9505 về các kỹ thuật kiểm duyệt mô tả các điểm kiểm soát và mẫu can thiệp phía sau những hình dạng đó. Tuy nhiên không cái nào cho biết chính sách áp dụng rộng đến đâu. Tính lâu bền là một khẳng định mạnh hơn khả năng tiếp cận: điểm cuối, phần mềm, chính sách và dịch vụ được phép đều thay đổi, nên hiệu quả vô thời hạn cần những giả định về việc thực thi tiếp tục chứ không phải một danh sách địa chỉ thấy tại một thời điểm.