Waarom 'n gedeelde TAP-VPN steeds HTTPS op die portaal nodig het
'n TAP-VPN verifieer die eweknie, nie die diens daaragter nie. Hou gasheernaamvalidering op die portaal en isoleer bure wat jy nie vertrou nie.
Twee toestelle hou geldige VPN-geloofsbriewe en deel een oorbrugde Ethernet-segment. Net een van hulle is veronderstel om vir die kantoorportaal te antwoord, en die ander een kan steeds die portaaladres op daardie segment opeis. Die tonnel het sy werk gedoen: dit het albei eweknieë verifieer en elke pad na die bediener geënkripteer. Wat dit nie gedoen het nie, is om te sertifiseer wie van hulle 'n diensnaam besit, en daardie leemte is waarom die portaal steeds 'n geldige sertifikaat nodig het.
Wat die VPN werklik verifieer
'n VPN-handdruk beantwoord een vraag: watter eweknie hierdie tonnel met watter sleutelmateriaal voltooi het. Daardie antwoord is per eweknie en per verbinding, en dit sê niks oor die dienste wat daardie eweknie daarna blootstel nie. Op 'n TAP-segment is die eweknie nie eers 'n enkele adres nie, want dit kan enige MAC en enige IP voorhou wat die brug bereid is om te leer. Verifikasie stop by die tonnel-eindpunt, nie by die toepassing nie.
Skei die drie vrae eerder as om hulle in een saam te voeg. Elkeen het sy eie meganisme en sy eie foutmodus.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
'n Ontplooiing kan 'n heeltemal geverifieerde tonnel hê en 'n heeltemal ongeverifieerde diens daar agter. Dit kan ook 'n gevalideerde sertifikaat hê op 'n gasheer wie se laag-twee-adres deur 'n ander eweknie opgeëis word, en daarom hoort albei kontroles in die ontwerp eerder as dat die een die ander vervang. Die tabel is die hele argument in drie rye.
ARP op 'n gedeelde segment is nie 'n gids nie
ARP karteer 'n IPv4-adres na 'n MAC op die plaaslike skakel en aanvaar antwoorde van enigiemand op daardie skakel. Op 'n toegeeflike oorbrugde segment kan 'n eweknie 'n adres opeis wat aan 'n ander toestel behoort, en die brug stuur raampies na wie die meeste onlangs geantwoord het. Om elke kliëntepad na die bediener te geënkripteer verander dit nie, want raampies word gedekripteer voordat hulle die brug bereik. Die vertrouegrens van ARP is die segment, nie die tonnel nie.
Kyk wat die gasheer werklik geleer het: ip neigh show lys huidige karterings en hul toestand, en 'n inskrywing wat tydens normale werking tussen twee MAC-adresse wissel, is 'n simptoom wat ondersoek werd is eerder as om dit af te maak. Op 'n gesonde klein segment bly daardie inskrywings lank stabiel.
Eweknie-isolasie en brugbeleid bestaan juis vir hierdie geval. 'n Geroteerde ontwerp is gewoonlik die beter antwoord wanneer die diens slegs IP is en die toestelle hoegenaamd geen rede het om mekaar se raampies te sien nie.
Hou sertifikaatvalidering waar die diens is
Toepassing-TLS beantwoord die vraag wat die tonnel nie kan nie: is dit die diens wat ek wou bereik. Die blaaier vergelyk die gasheernaam met die sertifikaat, en daardie kontrole is die enigste deel van die ketting wat die portaal noem eerder as die eweknie.
Ondersoek wat die bediener aanbied voordat jy besluit die waarskuwing is kosmeties. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal druk die ketting en die onderwerp-alternatiewe name uit. As die naam wat jy getik het nie in daardie lys voorkom nie, is die waarskuwing korrek en is die sertifikaat wat reggemaak moet word. Om gebruikers te leer om deur te klik, verander 'n werkende kontrole in versiering.
Die OpenVPN-oorbruggingsgids beskryf die Ethernet-model en die beleidsopsies daaromheen, en dit is die regte verwysing vir wat die segment bedoel is om toe te laat. Lees dit voordat jy 'n brugreël verslap, want die model wat dit beskryf, is wat elke kontrole hierbo veronderstel.
Besluit of daardie eweknieë hoegenaamd 'n segment moet deel
Die goedkoopste oplossing is gewoonlik om op te hou om laag twee te deel wanneer die vereiste net IP-bereikbaarheid is. 'n Geroteerde VPN gee elke kliënt sy eie adres, verwyder die gedeelde uitsaaidomein en maak eweknie-tot-eweknie-verkeer 'n beleidsbesluit in plaas van 'n verstek. Die portaal het dan een adres om te beskerm en geen bure wat dit kan opeis nie.
As die segment moet bly, kyk na die bedienerkant-instelling wat kliënte mekaar laat bereik: grep -n client-to-client /etc/openvpn/server.conf. Met dit gedeaktiveer, gaan kliëntverkeer deur die bediener en kan daar gefiltreer word. Met dit geaktiveer, ruil eweknieë raampies direk deur die brug en is jou filtreerpunte die brug en die gasheer-vuurmuur.
Skryf neer op watter beskermings elke gasheer werklik staatmaak: tonnelverifikasie, segment-isolasie of toepassing-TLS. 'n Gasheer wat op al drie staatmaak, is reg. 'n Gasheer wat op die eerste staatmaak en aanneem die ander twee het saamgekom, is die een wat uiteindelik die verkeerde inhoud lewer.