アカウント名:
パスワード:
システム管理者にとっては新しい悩みの種のご登場ですな。管理者権限なくても動作可能なのは企業的にはマズい。しっかり機密度に応じてネットワーク自体がゾーニング出来てればいいけど、そんな企業は大企業でもでも案外少ないからなぁ。大半のPCは利便性から特にクラウド全盛になった今となってはインターネットにリーチできるだろう。その状態でこれの登場となると、管理者権限いらないキャプチャ型のリモートデスクトップソフトと組み合わせたら、ねぇ。
インターネットのゲートウェイ（ルータとかファイヤウォール）を、deep packet inspection (DPI) の機能を持った製品に置き換えればブロック出来ますよ。L4-7 の挙動とかペイロードを分析して、既知のアプリケーションであればポート番号に関わらずブロックしてくれます。ヤマハの RTX のように、安い製品でも DPI を搭載した製品がありますので探してみてはどうでしょう。
https://ja.softether.org/@api/deki/files/4/=1.2.jpg [softether.org]
このプロダクトのVPN部分のSoftEtherは4つの接続モードが提供されています。一番左のEthernet over HTTPSはDPIでもブロックできないと公式が明言しています。
"ディープ･パケット･インスペクション･ファイアウォール (パケットの内容を高レイヤで分析して遮断する種類の高度なファイアウォール) であっても、SoftEther VPN における VPN 伝送のためのパケットを検出することができません。なぜならば、SoftEther VPN は伝送プロトコルにおいて Ethernet パケットを HTTPS パケットに「偽装」して伝送することができるためです。"https://ja.softether.org/ [softether.org]
パケットを覗いた方曰く
設定しているVPN Serverに対してCONNECTで繋いだ後、POST https://127.0.0.1/ [127.0.0.1]... とかしていて、こりゃ並のTLS解くプロキシ経由では繋がらんなと笑った。FiddlerのHOSTS機能で127.0.0.1を本来のVPN Serverに向けてやれば、一応少しだけ進んだ。image/jpegとか言いながらGIF89aのシグネチャが付いた謎のPOSTするし、応答も謎のバイナリだし、めっちゃ混乱する。接続完了と言いつつDHCPでIPアドレス取ってこれないあたり、まだ何か壁があるみたいだ。
https://twitter.com/falms/status/1034822235750465537 [twitter.com]
Ethernetの場合、普通パケットと言わずにフレームと言わない？
と思ったけど、SoftEtherの公式がパケットって書いてるのか。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
身近な人の偉大さは半減する -- あるアレゲ人
新しい悩みの種... (スコア:3, 参考になる)
システム管理者にとっては新しい悩みの種のご登場ですな。管理者権限なくても動作可能なのは企業的にはマズい。
しっかり機密度に応じてネットワーク自体がゾーニング出来てればいいけど、そんな企業は大企業でもでも案外少ないからなぁ。
大半のPCは利便性から特にクラウド全盛になった今となってはインターネットにリーチできるだろう。
その状態でこれの登場となると、管理者権限いらないキャプチャ型のリモートデスクトップソフトと組み合わせたら、ねぇ。
Re: (スコア:0)
インターネットのゲートウェイ（ルータとかファイヤウォール）を、deep packet inspection (DPI) の機能を持った製品に置き換えればブロック出来ますよ。
L4-7 の挙動とかペイロードを分析して、既知のアプリケーションであればポート番号に関わらずブロックしてくれます。
ヤマハの RTX のように、安い製品でも DPI を搭載した製品がありますので探してみてはどうでしょう。
Re:新しい悩みの種... (スコア:2, 興味深い)
https://ja.softether.org/@api/deki/files/4/=1.2.jpg [softether.org]
このプロダクトのVPN部分のSoftEtherは4つの接続モードが提供されています。
一番左のEthernet over HTTPSはDPIでもブロックできないと公式が明言しています。
"ディープ･パケット･インスペクション･ファイアウォール (パケットの内容を高レイヤで分析して遮断する種類の高度なファイアウォール) であっても、SoftEther VPN における VPN 伝送のためのパケットを検出することができません。なぜならば、SoftEther VPN は伝送プロトコルにおいて Ethernet パケットを HTTPS パケットに「偽装」して伝送することができるためです。"
https://ja.softether.org/ [softether.org]
Re:新しい悩みの種... (スコア:2, 興味深い)
パケットを覗いた方曰く
設定しているVPN Serverに対してCONNECTで繋いだ後、POST https://127.0.0.1/ [127.0.0.1]... とかしていて、こりゃ並のTLS解くプロキシ経由では繋がらんなと笑った。
FiddlerのHOSTS機能で127.0.0.1を本来のVPN Serverに向けてやれば、一応少しだけ進んだ。image/jpegとか言いながらGIF89aのシグネチャが付いた謎のPOSTするし、応答も謎のバイナリだし、めっちゃ混乱する。
接続完了と言いつつDHCPでIPアドレス取ってこれないあたり、まだ何か壁があるみたいだ。
https://twitter.com/falms/status/1034822235750465537 [twitter.com]
Re: (スコア:0)
Ethernetの場合、普通パケットと言わずにフレームと言わない？
と思ったけど、SoftEtherの公式がパケットって書いてるのか。