حساب VPN مشترك: حد الأجهزة ليس عزلاً بين العملاء

ثمانية اتصالات متزامنة رقم من صفحة ترخيص، وهو لا يقول شيئاً عمّا يمكن لتلك الأجهزة الثمانية أن تفعله ببعضها. يمكن أن يتعايش تسجيل دخول مشترك مع مفاتيح لكل جلسة، ويمكنه أيضاً أن يتعايش مع بوابة تمرّر حركة أحد العملاء إلى آخر بكل سهولة. الخطأ هو اعتبار الحساب حدّاً أمنياً. اسأل بدلاً من ذلك أربعة أسئلة منفصلة: ماذا اشتُري، وما الذي يحمي النفق، وما الذي يجوز أن يمرّ بين الأقران، وما الذي يمكن أن يُسقط الرابط المحلي.

ما الذي يضمنه سماح الاتصالات فعلاً

حد الأجهزة يعدّ عدد الجلسات التي سيقبلها المزوّد لاشتراك واحد. إنه ضابط تجاري وتشغيلي، وليس بياناً عن الهوية أو العزل. بعض المزوّدين يصدرون شهادة منفصلة لكل جهاز ضمن حساب واحد؛ وآخرون يعيدون استخدام بيانات اعتماد واحدة في كل اتصال. يظهر الفرق عند الإلغاء، لأن بيانات الاعتماد المنفصلة تتيح لك قطع جهاز واحد، أما المشتركة فلا تترك لك هذا الخيار.

اقرأ كيف يصدر المزوّد بيانات الاعتماد قبل أن تفترض أي شيء عن فصل المفاتيح. اسم الحساب نفسه لا يكشف أي شيء من ذلك.

تحقق مما إذا كانت البوابة تمرّر الحركة بين العملاء

إمكانية الوصول بين الأقران قرار يُتخذ على الخادم. في OpenVPN يكون المفتاح المعني غائباً ما لم يظهر في الإعدادات، لكن تفريغ مستوى البيانات الحديث يغيّر المكان الذي تُطبَّق فيه القاعدة.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

الإعدادات التي تخلو من ذلك التوجيه تترك حركة الأقران لجدار حماية المضيف، الذي قد يسمح بها رغم ذلك. عندما يكون التفريغ نشطاً، تتولى النواة معالجة واجهة النفق بدلاً من عملية مساحة المستخدم، لذا تحقق من عدّادات القواعد بدلاً من الوثوق بالملف. حجب الحركة الممرَّرة بين عناوين النفق يعزل العملاء دون المساس بوصولهم إلى البوابة. أكّد ذلك بفحص من عميل إلى خدمة على عميل آخر، قبل القاعدة وبعدها.

احمِ الجلسة قبل الأقران

حماية النفق ووصول الأقران خاصيتان مختلفتان، والتشفير القوي لا يعني العزل. في وضع TLS يشتق كل عميل مفاتيح جلسته الخاصة، لذا لا يستطيع عميل قراءة حركة آخر حتى عندما تمرّرها البوابة. ترتيب المفتاح الساكن القديم يتقاسم مفتاحاً واحداً بين الجميع، ولهذا يكون لإعادة استخدام تسجيل دخول فيه عواقب أسوأ بكثير. افحص الوضع المُعدّ بدلاً من صفحة التسويق، ثم احكم هل تناسب مشاركة الحساب البيانات المعنية.

تظل مصادقة الخدمة على كل مضيف مهمة، لأن النفق يثبت فقط أن عميلاً وصل إلى الشبكة، لا أنه ينبغي أن يصل إلى خدمة معيّنة.

أعطال Wi-Fi المحلية ليست اختراقات VPN

الاتصال المنقطع يثبت أن الرابط المحلي فشل، لا أن أحداً كسر النفق. التداخل وفقدان تجديد DHCP وتسليم التجوال كلها تُنهي جلسة دون المساس ببيانات الاعتماد أو النص المشفّر. تعامل مع الانقطاع كملاحظة توفّر وافصله عن ملاحظات السرية ووصول الأقران. حيث تكون الشبكة المحلية غير موثوقة، احمِ الحركة من طرف إلى طرف بدلاً من الاعتماد على النفق وحده.

دوّن الإجابات الأربع: السماح، ونموذج المفاتيح، وسياسة الأقران، والاعتماد على الرابط المحلي. هذا السجل يحوّل القلق الغامض بشأن حساب مشترك إلى ضوابط محددة.