技術人員
對於 Mullvad VPN 奠基於何種通訊協定、基本原理和其他細節,您感到好奇嗎? 很好,請看這裡!
應用程式中的 VPN 通訊協定
我們支援兩種 VPN 通道通訊協定,OpenVPN 和 WireGuard:
- 我們將 OpenVPN 限制為 TLS 1.3 (用於控制通道) 和 AES-256-GCM (用於資料通道)。 這已在 OpenSSL 中實作。
- 對於 WireGuard,我們主要採取了標準 Linux 核心實作。 其他情況使用 wireguard-go。
應用程式 API 連線
應用程式使用了以 Rustls* 實作的 TLS 1.2 或 1.3,將與 API 的通訊加密。 這提供了兩項功能:
- 連線使用憑證鎖定,以防止中間人攻擊。
- 為了規避 DNS 詐欺,應用程式不使用 DNS 取得 API 的 IP。
*在 iOS 上,使用 URLSession 支援的預設 TLS 應用程式防火牆和安全性
應用程式與系統防火牆整合 (Windows 上的 WFP、Linux 上的 nftables 和 macOS 上的 PF),防止外洩並啟用終止開關功能。 在我們 GitHub 頁面瞭解更多資訊
應用程式基礎架構
伺服器
我們在所有伺服器中都指定了加密的預設組態和優先順序,為各個通道通訊協定提供最有力的加密。
OpenVPN 伺服器
我們 OpenVPN 伺服器具有下列特性:
WireGuard 伺服器
WireGuard 具有約制性,僅提供一組加密原語。 如需詳細資訊,請參見 WireGuard 網站。
橋接伺服器
我們的橋接有助於在存取遭封鎖時,連線到我們網站、API、OpenVPN 和 WireGuard 伺服器。 我們的組態使未加密的內容很難或不可能獲得存取,因此使用的加密類型並不重要。
伺服器封鎖
為了保護我們自己、我們的客戶和我們的服務品質,我們保留封鎖任何 IP 位址或連接埠的權利。 我們始終封鎖對以下連接埠的出站流量:
- 連接埠 25 – 防止垃圾郵件
- 連接埠 137、138、139、445 – 保護客戶免受 Microsoft SMB/CIFS 安全問題影響
- 連接埠 1900 和 2869 – 保護客戶免於惡意 UPnP 組態。