شبكة Wi-Fi العامة وVPN: ما لا يغطيه النفق

شارة خضراء، وبوابة راضية، ومتصفح يعمل: تلك هي القصة المرئية بأكملها. ما تغفله الشارة هو أن الاتصال المشفر يحمله بالضبط الرابط اللاسلكي الذي يُفترض أنه يحميك منه. فذلك الرابط ما زال يسلّم كل حزمة، وما زال يرى عنوان الطرف الآخر، وما زال يقرر ما إذا كان أي شيء سيصل أصلًا. وإن تفحّص الجانب الخاص بالحاسوب المحمول في اتصال فندقي يُظهر أي الأجزاء يغطيها النفق وأيها يتركها لك.

رابط الوصول يحمل كل شيء

يغلّف نفق IPsec ESP حزمة داخلية محمية داخل رأس خارجي يمكن للشبكة توجيهه، كما يوضّح RFC 4303 القسم 3.1.2 هذا التقسيم. الحزمة الداخلية هي ما يحميه النفق. الرأس الخارجي هو ما تقرأه نقطة الاتصال الساخنة من أجل تمريره. تصاميم أخرى تغلّف بشكل مختلف، لكن سؤال التخطيط واحد: أي مسار وصول يحمل هذا الاتصال؟

فشل البوابة أو رابط يُسقط الحزم يوقف التسليم دون الكشف عن المحتوى. والتحول إلى شيفرة أقوى لا يفعل شيئًا لذلك، لأن الجزء المفقود هو النقل لا التشفير. والتسليم الناجح لا يثبت الكثير في الاتجاه الآخر، لأن مسارًا يعمل لا يقول شيئًا عن حالة أي من الجهازين.

حاسوبك المحمول ما زال له أبوابه الخاصة

الانضمام إلى مقطع غير موثوق يغيّر من يمكنه الوصول إلى المنافذ التي يستمع عليها جهازك. فخدمة مشاركة الملفات، أو وكيل إدارة عن بُعد، أو خادم تطوير مربوط بكل الواجهات، يمكن لأي شخص على ذلك المقطع الوصول إليه ما لم يوقفه شيء. والحركة التي لا تدخل النفق أبدًا ليست محمية به. والمستمع الذي يجيب قبل أن يصبح النفق جاهزًا يكون مكشوفًا في تلك النافذة بالضبط.

المتطلب ضيق ويستحق أن يُقال بدقة: يجب أن يصل الحاسوب المحمول إلى طرف VPN، ويجب ألا تصل الأجهزة غير ذات الصلة على نقطة الاتصال إلى الخدمات المحلية. قواعد جدار الحماية على المضيف تعبّر عن ذلك الحد، كما تعبّر إعدادات المشاركة الخاصة بالمنصة عن جزء منه أيضًا. فالطابعة أو خطوة البوابة استثناء محدود النطاق تضيفه عن قصد، وليست دليلًا على أن نقطة الاتصال كلها تستحق ثقة شبكة مكتبية.

بعض المؤسسات تقيّد أيضًا الوصول المحلي أثناء اتصال عمل نشط، وهذا سياسة لا هندسة. اقرأ تلك السياسة قبل تعطيل جدار حماية لجعل جهاز طرفي يعمل.

تحقق مما يستمع فعليًا

انظر إلى المقابس لا إلى صفحة الإعدادات، لأن الصفحة تصف النية وجدول المقابس يصف الجهاز. والقائمتان أدناه تفصلان كل مقبس مستمع عن تلك التي يمكن لجار الوصول إليها. شغّلهما على المقطع غير الموثوق قبل توصيل النفق.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

يعرض الأمر الأول كل مقبس، ويصفّي الثاني إلى تلك المربوطة خارج الواجهة المحلية. فالخدمة على 0.0.0.0 أو :: متاحة على كل واجهة، بما فيها اللاسلكية، بينما الخدمة نفسها على 127.0.0.1 غير قابلة للوصول من المقطع إطلاقًا. ويؤكد استعلام المفسّر أي مسار يأخذه الاسم قبل وجود النفق، وهنا تتدخل البوابات المحتجزة. أعد القائمة بعد التوصيل، لأن بعض العملاء يرفعون واجهات تغيّر الجواب.

المنفذ الذي يظهر فقط أثناء عمل النفق أقل تعرضًا، وإن كان ما زال يستحق المعرفة. سجّل الفرق لا القائمة المطلقة، لأن الفارق هو ما أضافه النفق.

لا تقبل هوية جديدة في منتصف الجلسة

تغيير مسار غير متوقع أو إعادة اتصال أو تحويل بوابة ليس إذنًا بقبول هوية خادم مختلفة. وإذا أبلغ العميل عن عدم تطابق في الشهادة أو المفتاح، فتعامل معه كاكتشاف هوية لا كاتصال ينبغي الالتفاف عليه. وتثبيت شهادة جذر غير مفسّرة لجعل بوابة تعمل يحوّل مشكلة تسليم إلى مشكلة ثقة. ثم تعيش مشكلة الثقة أطول من الرحلة التي أنشأتها.

استخدم تدفق المتصفح الخاص بالبوابة، ثم أعد توصيل النفق واقرأ سجل العميل لمعرفة الهوية التي تحقق منها. فشل الهوية يعني أن الطرف ليس من تتوقعه، بينما فشل التسليم يعني أن الطرف لم يجب أبدًا. الأول سبب للتوقف، والثاني سبب لتجربة مسار آخر.

حدد سلوك الانقطاع أولًا

تُخلط هنا ميزتان مختلفتان. إعادة الاتصال تحاول استعادة الخدمة، بينما سياسة الحجب تتحكم في الحركة المسموح بها أثناء تعطل النفق. ولا واحدة منهما توفر رابطًا لاسلكيًا يعمل، ولا واحدة تثبت أن الطرف نظيف. اختر صراحة: الفشل المغلق للتطبيقات التي يجب ألا تستخدم المسار المحلي أبدًا، والسماح بالتصفح العادي خارج النفق إن كان ذلك مقبولًا.

اكتب الخيار، لأن الافتراضي في معظم العملاء ليس أيًا منهما، وهو يختلف باختلاف الإصدار. ثم رتّب مسار وصول بديلًا إن كانت الإتاحة مهمة، مثل نقطة اتصال هاتفية بخطة بيانات خاصة بها. واختبار قبول مقبول له ثلاث نتائج منفصلة: الحركة المقصودة تستخدم النفق المتحقق منه، والمستمعون المحليون غير ذوي الصلة غير قابلين للوصول، والانقطاع ينتج السلوك الذي اخترته.