Si lo comprendo correctamente, este es un diagrama de red aproximado de su situación:
EstásdiciendoqueAyBquierenhablar,peronopuedendirectamente,asíqueusanRelay.EstápensandoenqueAconfigureunaconexiónencriptada(TLS)pararetransmitiryluegoutiliceRelaycomounproxyparaconectarse(atravésdeotrotúnelTLS)aB
Estosuenacomplicado,perobásicamentesiusaunproxyhttpsocualquierservidorVPN(porejemplo,mycompany.example)yseconectaaotrositiohttps(porejemplo,bank.example),yaestáaplicandoelcifradodecapasenelcifrado.Veamoscómofuncionanlasopcionesposibles(capasonocapas).
Opción1:cifrarA<->BperonoA<->RelayniB<->Relay
Sinohaceuntúneldentrodeltúnel,estaríaenviandopaquetesdeAaRelayydeRelayaBsinencriptar.PerocomoestándestinadosaB,eltráficosecifraráparaB,nadiepuedeleerelcontenidodelaconexión(soloAyBellosmismos).LaúnicainformaciónqueseestáfiltrandoacualquieraqueescucheenelcaminoentreA<->RelayyRelay<->BesqueAyBseestáncomunicando.Elrelénopodráleerelcontenidodelaconexión.
Opción2:cifrarA->RelayyA->B
Si,comoestápreguntando,hayuntúnelentreAyRelayyentreAyB,entonceslaspersonasqueescuchanenA<->RelaysolopuedenverqueAseestácomunicandoconRelay;ylaspersonasqueescuchenenRelay<->BsoloveránqueRelayseestácomunicandoconB.ElRelaynopodráleerelcontenidodelaconexión.
Opción3:cifrarA->RelayyB->Relay
Finalmente,existelaopcióndecifrarlaconexióndeAaRelay,peronodeAaB(ysuponiendoqueBtodavíaestableceunaconexión(TLS)aRelayporqueestádetrásdeNAT).Enesecaso,eltráficoestransparenteparaelRelay,perocualquierpersonaqueobservesoloverálaconexióndeAaRelayydeBalRelay.
Entonces,dependedesiesunproblemasilaspersonasqueinterceptanlaslíneaspuedenvereldestinodelospaquetes(esdecir,AyB).DobleencriptadosignificadoblepoderdeCPUparaAyB(soloensingularparaRelay,yaquenodescifraelcontenido,sololacapaexterna),peronoestoysegurodequehayaunagrandiferenciaolohabríasmencionado.
(Créditos:laimagenserealizócon enlace . El XML está en la fuente de esta publicación).