Роздільне тунелювання за допомогою VPN

Що таке роздільне тунелювання VPN і як воно працює?

Почнемо з основ: що таке VPN-тунелювання?

Мережеве тунелювання — це основна функція безпеки, яку забезпечують віртуальні приватні мережі (VPN) для безпечної передачі даних з пристрою користувача на сервер VPN.

Щоб перенаправити інтернет-трафік, VPN спочатку шифрує дані на пристрої користувача, а потім передає їх через VPN-тунель, який є ексклюзивним для кожного користувача, на власний сервер, де IP-адреса замінюється на власну адресу VPN. Шифрування та тунелювання запобігають зовнішньому спостереженню та втручанню під час передачі: дані фактично недоступні для сторонніх спостерігачів.

Коли VPN увімкнено, вся онлайн-активність за замовчуванням проходить через один і той самий мережевий тунель та сервер — це повне тунелювання.

Роздільне тунелювання VPN

Що таке роздільне тунелювання VPN Конфігурація VPN, за якої лише певний інтернет-трафік маршрутизується через зашифрований тунель, а решта трафіку підключається безпосередньо через інтернет-провайдера. На відміну від повного тунелювання, роздільне тунелювання дозволяє користувачам самостійно визначати, які дані захищати, а які повністю обходити VPN.

Роздільне тунелювання — це додаткова функція деяких VPN-сервісів, яка дозволяє направляти через VPN лише вибрані дані, створюючи два одночасних з'єднання: одне захищене, одне пряме.

Щоб оцінити переваги роздільного тунелювання, варто зрозуміти, як саме працює маскування IP-адреси у VPN. Якщо VPN-сервер розташований у Сан-Паулу, веб-сайти бачать бразильську IP-адресу. Це зручно для приховування джерела активності, але менш ефективно для сервісів, яким потрібно знати реальне місцезнаходження користувача.

Які існують типи роздільного тунелювання у VPN?

Роздільне тунелювання VPN можна налаштувати кількома способами залежно від ваших потреб.

Роздільне тунелювання через додаток

Це найпоширеніший варіант: ви обираєте конкретні програми, трафік яких буде проходить через VPN, а решта підключається безпосередньо до загальнодоступної мережі. Це корисно для додатків, що вимагають підвищеного рівня безпеки, наприклад, для робочого поштового клієнта. Залежно від конкретного випадку можна вибрати кілька додатків, щоб звільнити пропускну здатність і зменшити навантаження на VPN-сервер.

Зворотне тунелювання з розщепленням

Ця опція дозволяє обходити VPN лише для певних програм, тоді як решта інтернет-трафіку проходить через VPN. Це корисно, коли більшість даних потребують захисту, але деякі програми вимагають прямого підключення до інтернет-провайдера — наприклад, програми, що використовують дані про місцезнаходження, такі як сервіси погоди, або стрімінгові платформи, які блокують IP-адреси VPN.

Роздільне тунелювання для певних доменів

Замість налаштування для окремих програм ви обираєте конкретні веб-сайти, трафік яких буде проходить через VPN, а всі інші домени будуть використовувати відкритий Інтернет. Це спрощений підхід для користувачів, яким потрібна конфіденційність лише для певного контенту. Однак загалом це значно менш безпечно.

Динамічне роздільне тунелювання

Більш детальні налаштування дають змогу користувачам включати або виключати трафік на основі імен доменів DNS. Служби безпеки можуть вважати за краще направляти запити на невідомі або підозрілі домени через певний сервер для більш ретельного аналізу, дозволяючи при цьому іншому трафіку проходити більш ефективно.

Які переваги має функція роздільного тунелювання у VPN?

Основні переваги роздільного тунелювання полягають у гнучкості, продуктивності та можливості управління з боку користувача.

Швидкісні підключення

VPN працюють як проксі-сервери: перед тим, як отримати доступ до веб-сайту, запит користувача має бути зашифрований, переданий через VPN-тунель, розшифрований і пересланий до місця призначення — після чого відповідь проходить той самий шлях у зворотному напрямку.

Завдяки якісному VPN затримка зазвичай є незначною при виконанні базових завдань. Однак при виконанні багатьох операцій одночасно (завантаження, потокове відтворення, відкриття декількох вкладок) маршрутизація всього трафіку через VPN може помітно уповільнити з'єднання. Функція роздільного тунелювання дозволяє користувачам застосовувати захист VPN лише там, де це необхідно, зберігаючи швидкість в інших випадках без необхідності щоразу вмикати та вимикати VPN.

Безпечні з'єднання для віддаленої роботи

Користувачам, яким VPN-захист потрібен насамперед для роботи, функція роздільного тунелювання дозволяє корпоративній мережі VPN обробляти конфіденційні дані, тоді як особистий трафік передається безпосередньо через локальну мережу. Важлива примітка: Це означає, що діяльність, не пов’язана з роботою, як і раніше залишається вразливою до стеження та кібератак.

Одночасний доступ до іноземних та місцевих сервісів

Якщо VPN вказує, що ви перебуваєте в Кореї, додаток з прогнозом погоди покаже корейські дані для користувача, який знаходиться в Чикаго. Функція роздільного тунелювання дозволяє додаткам, що залежать від місцезнаходження, використовувати локальну мережу, тоді як інший трафік безпечно проходить через VPN.

Які ризики для безпеки пов'язані з роздільним тунелюванням у VPN?

Роздільне тунелювання має очевидні переваги. Однак рішення пропустити частину трафіку в обхід VPN означає, що ви погоджуєтеся на ризик викриття цієї частини активності.

Порушення безпеки даних

Роздільне тунелювання означає, що лише частина онлайн-активності користувача залишається анонімною. Все, що обходить VPN, може стати об’єктом загрози через зовнішнє спостереження за вашими метаданими, використання незашифрованої конфіденційної інформації або зловмисні кібератаки.

В Інтернеті існує певне стандартне шифрування для захищених сайтів, але масштаби масового стеження набагато ширші, ніж вважають багато користувачів. Урядові програми стеження, про які стало відомо завдяки розкриттям Сноудена у 2013 році, продемонстрували можливості масового збору метаданих, що охоплювали мільйони користувачів.(0)1(/0)

Зараження шкідливим програмним забезпеченням

VPN може захистити користувачів від деяких кібератак, але не може захистити від шкідливого програмного забезпечення, яке вже знаходиться на пристрої. Перегляд веб-сторінок із відкритою IP-адресою та без шифрування наражає користувача на ризик зараження шкідливим або шпигунським програмним забезпеченням, зокрема через випадкові переходи за шкідливими посиланнями. Якщо на комп'ютері вже є шкідливе програмне забезпечення, навіть дані, налаштовані на шифрування через VPN, можуть бути скомпрометовані ще до того, як VPN зможе їх захистити. Дослідження, проведене CSIRO у 2017 році, в якому було проаналізовано 283 додатки VPN для Android, виявило, що 38 % з них вбудовували шкідливе програмне забезпечення або бібліотеки для відстеження в трафік користувачів.(0)2(/0)

Управління мережею та безпека

У корпоративних або інституційних мережах роздільне тунелювання може ускладнити контроль безпеки. Коли деякі пристрої дозволяють незашифрований доступ до загальнодоступного Інтернету, моніторинг стає складнішим. У ситуаціях, коли має місце робота з конфіденційною інформацією, це може спричинити фінансові та юридичні ризики.

Помилки конфігурації

Чим складніша конфігурація роздільного тунелювання, тим вищий ризик помилки в налаштуваннях. Якщо користувачі не встановлять достатньо чітких правил, конфіденційні дані, призначені для передачі через VPN, можуть потрапити безпосередньо у відкритий Інтернет.

Роздільне тунелювання в централізованих та децентралізованих VPN?

Користувачі, які порівнюють VPN, зустрінуть два основні типи:

• Популярні централізовані VPN використовують сервери, які їм належать або які вони орендують, як правило, у одного й того самого постачальника послуг. Користувачі змушені довіряти провайдеру VPN свій трафік, а централізована інфраструктура створює єдину вразливу точку, через яку можуть статися витоки даних.

• Децентралізовані VPN (dVPN) передають трафік через децентралізовану мережу, що складається з безлічі вузлів, які неможливо пов’язати між собою. Така конструкція практично унеможливлює витік даних і значно ускладнює аналіз трафіку.

Традиційні централізовані VPN можуть забезпечувати вищу швидкість для всього трафіку — адже за замовчуванням маршрут з одним переходом є швидшим, ніж маршрут із багатьма переходами. Однак така швидкість досягається за рахунок того, що мережа стає більш вразливою до зломів, кібератак та тиску з боку уряду з вимогою надати дані про користувачів.

➤ Дізнайтеся більше про відмінності між централізованими та децентралізованими VPN у посібнику з кібербезпеки від Nym.

Висновок Nym: якісне роздільне тунелювання

Якщо розглядати це питання виключно з точки зору механізму роздільного тунелювання, то ні: у традиційних і децентралізованих VPN це працює однаково. Налаштування роздільного тунелювання — це вибіркові модифікації повного тунелювання: користувач самостійно створює винятки, щоб обійти засоби безпеки VPN. Все, що не проходить через VPN, потенційно може стати об’єктом стеження, аналізу трафіку та встановлення зв’язку між цією активністю та вами.

Справжня конфіденційність залежить від архітектури мережі VPN. Централізовані однопрохідні сервери працюють швидше, ніж багатопрохідні мережі dVPN, але це досягається за рахунок більшої вразливості мережі до витоків даних, кібератак та тиску з боку уряду щодо надання даних про користувачів.

Виберіть рівень конфіденційності

Роздільне тунелювання — це питання особистих уподобань користувача та вибору, який трафік проходить через VPN. NymVPN пропонує користувачам на вибір швидкісний режим та новий анонімний режим для підвищення рівня безпеки. Завдяки функції роздільного тунелювання користувачі можуть направляти дійсно конфіденційний трафік у режим «Анонімний», повсякденний трафік — у режим «Швидкий», а операції, для яких важлива низька затримка, — безпосередньо через провайдера, не жертвуючи анонімністю заради продуктивності.

Функція роздільного тунелювання VPN дає користувачам можливість контролювати, які дані підлягають захисту, але якість цього захисту залежить від архітектури VPN, на якій вона базується. Користувачам, яким потрібні як гнучкість, так і справжня конфіденційність, NymVPN надає можливість самостійно регулювати рівень захисту конфіденційності та швидкість з’єднання.

Посилання

1. The Guardian (2013): «Документи АНБ»
2. CSIRO/ICSI, Каліфорнійський університет у Берклі: Аналіз ризиків для конфіденційності та безпеки у VPN-додатках для Android (2017)