Een VPN-aanmelding op 'n gedeelde rekenaar: wie anders kry die roete?

Om 'n werkstasie te deel, laat 'n vraag ontstaan wat 'n alleen-gebruiker se skootrekenaar nooit hoef te antwoord nie: sodra een persoon die tonnel verifieer, wie anders kan dit gebruik? Die aanmelding identifiseer 'n subjek, en die roete wat dit installeer, beskryf 'n omvang, en dié twee dinge is nie dieselfde objek nie. Tussen hulle sit die bedryfstelsel, die kliënt se konfigurasie en wat die private diens op sy eie vereis. Om die handhawingspunte te vergelyk, is die enigste manier om die vraag te antwoord sonder om te raai.

Een aanmelding, verskeie omvange

Verifikasie antwoord wie toegelaat is. Die roete antwoord watter pakkette deur die tonnel mag vertrek. Magtiging antwoord watter diens die gevolglike verbinding sal aanvaar, en nie een van die drie impliseer die volgende nie.

'n Gasheerwye tonnel is die algemene verstek, en dit maak die gaping duidelik. Die roete sit in die kern se tabel, so elke proses wat daardie tabel gebruik, kan die private netwerk bereik, insluitend een wat begin is deur 'n gebruiker wat nooit die VPN-dialoog gesien het nie. Dit is nie 'n gebrek in die tonnel nie; dit is wat 'n stelselwye roete beteken. Die private diens kan steeds die verbinding weier, en daarom het bereikbaarheid en toestemming afsonderlike antwoorde nodig.

Om die vier vrae neer te skryf voordat daar getoets word, keer dat die oorsig in een daarvan verval.

Waar die grens werklik lê

Vier reëlings dek die meeste masjiene: 'n gasheerwye tonnel, 'n per-gebruiker-verbinding, 'n per-toepassing-toelaatlys en 'n aparte netwerknaamruimte of virtuele masjien.

Elkeen plaas die handhawingspunt op 'n ander plek, en die verskille maak meer saak as die etikette. 'n Per-gebruiker-verbinding word deur die profiel se toestemmings afgedwing eerder as deur die lessenaar se aanmeldskerm. 'n Per-toepassing-toelaatlys word binne die kliënt afgedwing, wat besluit wat dit sal dra. 'n Naamruimte of 'n VM dwing by die koppelvlakgrens af, so 'n proses binne kan glad nie die gasheer se roete sien nie. Die aantal aanmeldskerms op die masjien sê niks oor enige van hulle nie.

Om die tabel ry vir ry te lees, wys dat die werklike vraag nie is of isolasie bestaan nie, maar waar dit geïmplementeer is.

Vergelyk vier handhawingspunte

Op Linux is die roetetabel die eerste ding om te ondersoek, want 'n gasheerwye tonnel verskyn daar en 'n naamruimte nie. Om die opsoek as die tweede gebruiker te doen, is die stap wat mense oorslaan; die antwoord verskil van dié wat hulle as hulself gekry het, en dit verduidelik die verslag.

Die volgende twee kontroles kyk na beleid eerder as na roetering. 'n Brandmuurreël wat 'n UID pas, geld vir plaaslik gegenereerde verkeer, so dit kan twee gebruikers op een gasheer skei selfs wanneer albei die roete deel. 'n Verbindingsprofiel met 'n eksplisiete toestemmingslys word by aktivering deur die netwerkbestuurder afgedwing. Nie een van die kontroles vereis dat die tonnel verander nie, en daarom is dit die moeite werd om dit te doen voordat enigiets herontwerp word.

ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuid

As die tweede opsoek die tonnelroete wys, is die grens nie waar die ontwerp aanvaar het dit was nie.

Gelyktydige-sessie-reëls is 'n aparte beheer

Gateways beperk dikwels hoeveel sessies een rekening mag hou, en daardie limiet het niks met plaaslike gebruikers te doen nie. Dit beperk die rekening, so 'n tweede persoon wat met dieselfde geloofsbrief aanmeld, kan die eerste persoon se tonnel beëindig.

Lees die fout voordat jy 'n plaaslike isolasieprobleem aanvaar. 'n Sessielimiet veroorsaak 'n ontkoppeling by die gateway, terwyl 'n omvangprobleem 'n werkende tonnel lewer wat bloot nie die ander gebruiker se verkeer dra nie. Daardie twee simptome lei tot heeltemal verskillende regstellings. Hou die presiese kliëntboodskap, want dit noem gewoonlik die reël. Vra die profieleienaar vir die goedgekeurde werkstroom eerder as om die limiet te omseil.

'n Virtuele masjien stel niemand van daardie reël vry nie, en dit voeg sy eie netwerk- en geloofsbriefontwerp by.

Toets die konteks waaroor jy omgee

Toets die bedoelde gebruiker en toepassing, en toets dan 'n konteks wat geweier behoort te word. 'n Oorsig wat net bewys die oorspronklike wagwoord werk, het verifikasie getoets en niks anders nie.

sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'

Teken die handhawingspunt langs elke resultaat aan: die roetetabel, 'n UID-reël, 'n profieltoestemming of die gateway se sessiebeleid. Daardie rekord maak die volgende verandering hersienbaar. Dit keer ook dat dieselfde vraag weer oopgemaak word elke keer wanneer iemand 'n tweede aanmeldskerm opmerk. Bereikbaarheid is nie magtiging nie, en nie een van die twee is isolasie nie.