Tường lửa doanh nghiệp thấy được và không thấy được gì bên trong VPN

Cùng một laptop vào được VPN từ nhà mà không kết nối được từ văn phòng, vậy hẳn ai đó đang đọc lưu lượng. Chặn và đọc là hai quyền lực riêng biệt, và chỉ quyền thứ hai cần một điểm trên đường đi cùng chứng chỉ mà máy khách tin cậy. Hộp trung gian loại bỏ bắt tay của bạn không học được gì về thứ bạn sẽ gửi. Xác định bạn đang đối mặt với cái nào trong hai là toàn bộ công việc.

Chặn và đọc là hai quyền lực khác nhau

Một lời từ chối thì rẻ và ồn ào: ổ cắm mở ra và không gì trả lời, hoặc một gói đặt lại đến ngay. Không điều nào trong đó hàm ý kiểm tra, vì không có tải trọng nào đi qua dây.

Đọc cần một điểm cuối kết thúc bảo vệ, tự chứng minh bằng chứng chỉ và mở một kết nối mới về phía trước. Điểm đó phải nằm trên đường đi và được máy khách tin cậy. Một tường lửa chỉ chuyển tiếp gói tin không có vị trí lẫn thẩm quyền.

Lớp bọc cho không thứ gì

Mỗi gói của đường hầm đều có một mặt ngoài, và mặt ngoài phải định tuyến được. Nghĩa là hai địa chỉ, một giao thức, một cổng và một độ dài, cùng thời gian và khối lượng. Bất kỳ bộ định tuyến nào cũng đã xử lý những trường đó, và NAT viết lại địa chỉ cùng cổng để bảng ánh xạ của nó nhất quán. Tải trọng vẫn bị niêm phong, nên quan sát dừng ở sự thật rằng có một đường hầm giữa hai máy chủ.

Tên máy chủ không nằm trong số đó. Các trang rò rỉ qua những cánh cửa khác, và rộng nhất là DNS: nếu laptop vẫn hỏi bộ phân giải cục bộ, tên sẽ hiện ra công khai.

Thời gian và khối lượng đáng được tôn trọng mà không phóng đại. Byte mỗi phút có thể cho thấy một lần truyền lớn bắt đầu lúc 14:20; chúng không thể cho thấy tệp nào đã di chuyển. Đó là sự tiết lộ thật về hành vi, và một phạm trù khác với đọc nội dung.

Chặn TLS cần một gốc mà bạn đã tin cậy

Thiết bị kiểm tra không phá TLS; nó kết thúc TLS. Máy khách được trả lời bằng chứng chỉ từ một gốc mà tổ chức sở hữu, và kết nối thứ hai đi tới đích thật. Máy khách chấp nhận điều này vì gốc đó nằm trong kho tin cậy của nó, nên một laptop được quản lý không hiển thị cảnh báo nào. Mật mã chưa từng bị đánh bại; điểm cuối đã bị dời đi.

Đó cũng là lý do cách bố trí này để lại bằng chứng. Nhà phát hành trên chuỗi được trình ra thuộc về tổ chức chứ không phải CA công cộng, và máy khách có thể thấy điều đó mà không cần công cụ đặc biệt. Một chuỗi kết thúc ở gốc nội bộ là chữ ký của việc chặn, không phải sự cố.

Vì sao kênh VPN không phải phiên HTTPS

Kênh dữ liệu VPN không cho người kiểm tra chỗ bám như vậy. IKEv2 và WireGuard chạy bắt tay và lịch khóa riêng, không có TLS để kết thúc, trong khi OpenVPN vay TLS cho kênh điều khiển của mình ở dạng đã sửa đổi trước khi bảo vệ dữ liệu theo cách riêng. Một proxy xây cho HTTPS không nhận ra phiên đó như thứ nó có thể phân tích.

Một thiết bị không phân tích được phiên vẫn có thể loại bỏ nó. Đó là lý do việc chặn VPN thường trông như hết thời gian chứ không phải cảnh báo chứng chỉ, và cũng là lý do một ngoại lệ không thay đổi gì.

Tự kiểm tra từ máy của bạn

Bắt đầu với chuỗi mà trang trình ra. Thông tin trang trên trình duyệt hiển thị nhà phát hành, và dòng lệnh báo cùng điều đó mà không có phần tóm tắt:

openssl s_client -connect example.com:443 -servername example.com

Sau đó tách một lần bắt tay bị từ chối khỏi lưu lượng nội bộ đã lọc bằng bộ đếm. Ghi lại cổng vận chuyển trước mọi quy tắc loại bỏ và đọc chúng sau lần thử:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

Không có dòng nhật ký ở ổ cắm ngoài nghĩa là bắt tay chưa từng đi ra, nên đường đi từ chối đường hầm. Bắt tay hoàn tất mà chỉ một số đích thất bại nghĩa là đường hầm hoạt động còn chính sách bên trong thì không. Không kết quả nào cần đọc một byte tải trọng.

Việc đọc thực sự xảy ra nằm ở các rìa: đường hầm chia tách giao HTTPS nội bộ cho proxy doanh nghiệp, và bộ tập trung thuộc sở hữu của người sử dụng lao động phơi bày mọi thứ ở lối ra. Dù bạn tìm thấy gì, đừng tắt xác minh chứng chỉ để ép một kết nối, vì chính kiểm tra đó là thứ duy nhất tách kiểm tra khỏi kẻ tấn công.