Openbare Wi-Fi en 'n VPN: wat die tonnel nie dek nie

Groen kenteken, tevrede portaal, werkende blaaier: dit is die hele sigbare verhaal. Wat die kenteken weglaat, is dat die versleutelde verbinding gedra word deur juis die draadlose skakel waarteen dit jou moet beskerm. Daardie skakel lewer steeds elke pakket, sien steeds die eindpuntadres en besluit steeds of enigiets hoegenaamd aankom. Om die skootrekenaarkant van 'n hotelverbinding te ondersoek, wys watter dele die tonnel dek en watter dele dit aan jou oorlaat.

Die toegangskakel dra alles

’n IPsec ESP-tonnel draai 'n beskermde binneste pakket binne 'n buitenste kop wat die netwerk kan routeer, en RFC 4303 afdeling 3.1.2 lê daardie verdeling uiteen. Die binneste pakket is wat die tonnel beskerm. Die buitenste kop is wat die hotspot lees om dit aan te stuur. Ander ontwerpe kapsel anders in, maar die beplanningsvraag is identies: watter toegangspad dra hierdie verbinding?

'n Poortwegfout of 'n skakel wat pakkette laat val, stop aflewering sonder om inhoud te openbaar. Om na 'n sterker syfer oor te skakel, doen niks daaraan nie, want die ontbrekende stuk is vervoer eerder as kriptografie. Suksesvolle aflewering bewys net so min in die ander rigting, want 'n werkende pad sê niks oor die toestand van enige van die twee masjiene nie.

Jou skootrekenaar het steeds sy eie deure

Om by 'n onbetroubare segment aan te sluit, verander wie die poorte kan bereik waarna jou masjien luister. 'n Lêerdelingsdiens, 'n afstandadministrasie-agent of 'n ontwikkelingsbediener wat aan alle koppelvlakke gebind is, is vir enigiemand op daardie segment bereikbaar tensy iets dit keer. Verkeer wat nooit die tonnel binnegaan nie, word nie daardeur beskerm nie. 'n Luisteraar wat antwoord voordat die tonnel op is, is presies vir daardie venster blootgestel.

Die vereiste is eng en die moeite werd om presies te stel: die skootrekenaar moet die VPN-eindpunt bereik, en onverwante toestelle op die hotspot mag nie plaaslike dienste bereik nie. Gasheer-firewallreëls druk daardie grens uit, en die platform se eie delingsinstellings druk 'n deel daarvan ook uit. 'n Drukker of 'n portaalstap is 'n afgebakende uitsondering wat jy doelbewus byvoeg, nie 'n bewys dat die hele hotspot kantoornetwerkvertroue verdien nie.

Sommige organisasies beperk ook plaaslike toegang terwyl 'n werkverbinding aktief is, wat beleid eerder as ingenieurswese is. Lees daardie beleid voordat jy 'n firewall deaktiveer om 'n randapparaat te laat werk.

Kyk wat werklik luister

Kyk na die sokkels eerder as na die instellingsbladsy, want die bladsy beskryf die bedoeling en die soktabel beskryf die masjien. Die twee lyste hieronder skei elke luisterende sok van dié wat 'n buurman kan bereik. Voer hulle op die onbetroubare segment uit voordat jy die tonnel verbind.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Die eerste opdrag wys elke sok, en die tweede filter na dié wat buite die loopback gebind is. 'n Diens op 0.0.0.0 of :: is op elke koppelvlak beskikbaar, insluitend die draadlose een, terwyl dieselfde diens op 127.0.0.1 glad nie van die segment af bereikbaar is nie. Die resolver-navraag bevestig watter pad die naam neem voordat die tonnel bestaan, en dit is waar vasgevangde portale inmeng. Herhaal die lys ná die verbinding, want sommige kliënte lig koppelvlakke op wat die antwoord verander.

'n Poort wat net verskyn terwyl die tonnel op is, is minder blootgestel, hoewel dit steeds die moeite werd is om van te weet. Teken die verskil aan eerder as die absolute lys, want die delta is wat die tonnel bygevoeg het.

Aanvaar nie 'n nuwe identiteit midde-in die sessie nie

'n Onverwagte roeteverandering, 'n herverbinding of 'n portaalherleiding is nie toestemming om 'n ander bedieneridentiteit te aanvaar nie. As die kliënt 'n sertifikaat- of sleutelwanpassing rapporteer, behandel dit as 'n identiteitsbevinding eerder as as konnektiwiteit waaraan gewerk moet word. Om 'n onverklaarde wortelsertifikaat te installeer om 'n portaal te laat werk, omskep 'n afleweringsprobleem in 'n vertrouensprobleem. Die vertrouensprobleem oorleef dan die reis wat dit geskep het.

Gebruik die portaal se eie blaaierstroming, verbind dan weer die tonnel en lees die kliëntlog vir die identiteit wat dit geverifieer het. Identiteitsfaling beteken die eweknie is nie wie jy verwag het nie, terwyl afleweringsfaling beteken die eweknie het nooit geantwoord nie. Die eerste is 'n rede om te stop, en die tweede is 'n rede om 'n ander pad te probeer.

Bepaal eers die onderbrekingsgedrag

Twee verskillende funksies word hier verwar. Herverbinding probeer die diens herstel, terwyl 'n blokkeringsbeleid beheer watter verkeer toegelaat word terwyl die tonnel af is. Nie een lewer 'n werkende draadlose skakel nie, en nie een bewys die eindpunt is skoon nie. Kies uitdruklik: sluit toe vir toepassings wat nooit die plaaslike pad mag gebruik nie, en laat gewone blaai buite die tonnel toe as dit aanvaarbaar is.

Skryf die keuse neer, want die verstek in die meeste kliënte is nie een van die twee nie, en dit wissel per weergawe. Reël dan 'n alternatiewe toegangspad as beskikbaarheid saak maak, soos 'n selfoonhotspot met sy eie databundel. 'n Aanvaarbare aanvaardingstoets het drie afsonderlike uitkomste: beoogde verkeer gebruik die geverifieerde tonnel, onverwante plaaslike luisteraars is onbereikbaar, en 'n onderbreking lewer die gedrag wat jy gekies het.