مبانی
واژهنامهٔ اصطلاحات VPN و فیلترینگ شبکه
واژگان این حوزه متراکم است و بسیاری از آنها با بیدقتی به کار میروند. این تعریفها عامدانه سادهاند و هرکدام روی پای خود میایستند.
4 دقیقه مطالعهآخرین بازبینی
الف – ح
- اثرانگشتگیری
- شناسایی نرمافزار از روی شیوهٔ دقیق انجام کاری، بهجای آنچه میگوید. در TLS یعنی مجموعهٔ مرتب مجموعهرمزها و افزونههایی که یک کلاینت پیشنهاد میدهد؛ نگاه کنید به JA3 و JA4.
- احراز هویت رمزگذاریشده با دادهٔ همراه (AEAD)
- ساختاری رمزنگارانه که در یک گام هم محرمانگی و هم یکپارچگی را فراهم میکند، پس دستکاری تشخیص داده میشود نه آنکه بیصدا به دادهای بیمعنا رمزگشایی شود. در هر پروتکل مدرنی استاندارد است.
- ALPN
- مذاکرهٔ پروتکل لایهٔ کاربرد. افزونهای در TLS که کلاینت در آن اعلام میکند قصد دارد درون اتصال چه پروتکلی صحبت کند — مثلاً HTTP/2. بهصورت آشکار فرستاده میشود و یک میدان دیگر است که باید با بقیه سازگار باشد.
- بازرسی عمیق بستهها (DPI)
- وارسی محتوای ترافیک شبکه بهجای صرفاً اطلاعات نشانیدهی آن، بهمنظور تشخیص پروتکل در جریان و اقدام بر اساس آن.
- بازنشانی جعلی
- بستهٔ TCP RSTی که یک واسطه تزریق میکند و جعل شده تا انگار از طرف مقابل آمده باشد، و اتصالی را که هر دو سر سالم میپنداشتند خاتمه میدهد.
- پل (Bridge)
- نقطهٔ ورودی که در هیچ فهرست عمومی منتشر نشده و بهصورت محدود توزیع میشود تا شمارش و فهرستسیاهکردنش دشوارتر باشد. اصطلاح از Tor میآید اما ایده عمومی است.
- خاموشکن (Kill switch)
- سازوکاری که هر گاه تونل برقرار نباشد ترافیک عادی شبکه را مسدود میکند، تا افت تونل نتواند بیصدا ترافیک را به شبکهٔ آشکار درز دهد.
- حداکثر واحد انتقال (MTU)
- بزرگترین بستهای که یک پیوند حمل میکند. تونل سرآیند میافزاید، پس اندازهٔ قابلاستفاده کوچک میشود؛ ناهماهنگی معمولاً بهصورت موفقیت درخواستهای کوچک و معلقماندن صفحههای بزرگ بروز میکند.
خ – ک
- چندگانهسازی (Multiplexing)
- حمل چند جریان منطقی درون یک اتصال ترابری. تعداد اتصالهایی را که ناظر میبیند کاهش میدهد، به این هزینه که یک بستهٔ گمشده میتواند همهٔ جریانهایی را که آن اتصال را به اشتراک گذاشتهاند متوقف کند.
- شفافیت گواهی (Certificate Transparency)
- گزارشی عمومی و فقط-افزودنی از گواهیهای صادرشده توسط مراجع مورد اعتماد عمومی. وجود دارد تا گواهیهای نادرستصادرشده دیده شوند، و این اثر جانبی را دارد که تاریخچهٔ گواهی هر دامنهای برای همه قابلجستوجوست.
- کاوش فعال
- اتصال خودِ یک سامانهٔ فیلترینگ به نقطهٔ پایانی مظنون، با تقلید یک کلاینت، برای تأیید آنچه در آنجا اجرا میشود. مؤثر است چون به دستهبندی درست ترافیک شما در لحظه وابسته نیست.
- بدون گزارش (No-logs)
- ادعایی مبنی بر اینکه ارائهدهنده سوابق فعالیت کاربر را نگه نمیدارد. این یک بیانیهٔ سیاستی دربارهٔ فهرست مشخصی از انواع داده است و تنها وقتی معنادار است که آن فهرست صریحاً بیان شود.
- مبهمسازی
- شکلدادن ویژگیهای قابلمشاهدهٔ یک اتصال تا بهعنوان یک پروتکل مشخص شناخته نشود. متمایز از رمزگذاری، که بهجای هویت، محتوا را پنهان میکند.
- DNS-over-HTTPS (DoH)
- ترجمهٔ نام که درون یک اتصال معمولی HTTPS حمل میشود، تا شبکهٔ محلی نتواند آنها را بخواند یا تغییر دهد. اتصالی را که پس از آن به نشانی جستوجوشده برقرار میکنید پنهان نمیکند.
- Encrypted Client Hello (ECH)
- سازوکاری در TLS که بخش حساس دستدادن آغازین، از جمله نام میزبان درخواستی، را رمزگذاری میکند تا ناظر فقط یک نام عمومی و کلی ببیند.
- JA3 / JA4
- طرحهایی برای درهمسازی یک TLS Client Hello به شناسهای کوتاه برای نرمافزار کلاینت. JA4 جدیدتر است و در برابر کلاینتهایی که عامدانه ترتیب افزونههایشان را بُر میزنند مقاومتر است.
گ – ی
- ترابر ماژولار (Pluggable transport)
- لایهای ماژولار که ترافیک را پیش از ارسال به شکل دیگری تبدیل میکند، تا بتوان راهبرد مبهمسازی را بدون تغییر پروتکل زیرین جایگزین کرد.
- REALITY
- رویکردی در TLS که در آن نقطهٔ پایانی دستدادن خود را در برابر یک وبسایت حقیقی شخص ثالث تکمیل میکند و بازدیدکنندگان بدون احراز هویت را به همان سایت تحویل میدهد، پس هیچ گواهی از آنِ خود ندارد.
- Shadowsocks
- پروتکل پروکسی رمزگذاریشدهای که طراحی شده تا هیچ دستدادن قابلتشخیصی ارائه نکند، بهطوری که ترافیکش بهجای هر پروتکل شناختهشدهای شبیه بایتهای تصادفی باشد.
- SNI
- Server Name Indication. نام میزبانی که کلاینت درخواست میکند و در آغاز دستدادن TLS بهصورت آشکار فرستاده میشود تا یک نشانی بتواند به سایتهای بسیاری خدمت کند. پرکاربردترین ورودی برای تصمیمهای فیلترینگ است.
- تونلزنی تقسیمی (Split tunnelling)
- مسیریابی تنها بخشی از ترافیک از طریق تونل و بقیه بهصورت مستقیم. برای دور نگهداشتن ترافیک محلی یا حساس به تأخیر از تونل سودمند است، به این هزینه که ترافیک کنارگذاشتهشده برای شبکهٔ محلی قابلمشاهده است.
- کاهش سرعت (Throttling)
- محدودکردن عامدانهٔ نرخ یک جریان بهجای مسدودکردن آن. انتساب آن از مسدودسازی دشوارتر است، چون بهسادگی از ازدحام تفکیک نمیشود.
- VLESS
- پروتکل تونلزنی سبکی که هیچ رمزگذاری از خود انجام نمیدهد و قاببندی کمینهای میافزاید، و برای محرمانگی به ترابر زیرینش — معمولاً TLS — تکیه میکند.
- VMess
- پیشین VLESS، که رمزگذاری خودش و یک طرح احراز هویت مبتنی بر مهر زمانی را حمل میکرد. هر دو سربار و ویژگیهای شناساییپذیر میافزودند.
- WireGuard
- پروتکل VPN مدرن و عامدانه کمینهای با کارایی عالی و پایگاه کد کوچک. نمیکوشد خود را پنهان کند و گرفتن اثرانگشت دستدادنش ساده است.
- XTLS Vision
- سازوکاری که از رمزگذاری دوبارهٔ محتوایی که پیشاپیش TLS است پرهیز میکند، و هم هزینهٔ پردازشی رمزگذاری دوگانه و هم الگوی مشخصهٔ طولی را که TLS تودرتو تولید میکند حذف میکند.