İctimai Wi-Fi və VPN: tunelin əhatə etmədiyi

Yaşıl nişan, razı portal, işləyən brauzer: bütün görünən hekayə budur. Nişanın buraxdığı odur ki, şifrələnmiş əlaqəni sizi ondan qorumalı olan həmin simsiz keçid daşıyır. O keçid hər paketi yenə çatdırır, son nöqtə ünvanını yenə görür və nəyinsə ümumiyyətlə çatıb-çatmayacağını yenə qərarlaşdırır. Otel əlaqəsinin noutbuk tərəfinə baxmaq tunelin hansı hissələri əhatə etdiyini və hansıları sizə buraxdığını göstərir.

Giriş keçidi hər şeyi daşıyır

IPsec ESP tuneli qorunan daxili paketi şəbəkənin marşrutlaşdıra biləcəyi xarici başlığın içində bükür və RFC 4303 bölmə 3.1.2 bu bölgünü izah edir. Daxili paket tunelin qoruduğu şeydir. Xarici başlıq hotspotun onu yönləndirmək üçün oxuduğu şeydir. Digər dizaynlar fərqli qablaşdırır, amma planlama sualı eynidir: bu əlaqəni hansı giriş yolu daşıyır?

Şlüz nasazlığı və ya paket itirən keçid məzmunu açmadan çatdırılmanı dayandırır. Daha güclü şifrəyə keçmək buna heç nə etmir, çünki çatışmayan hissə kriptoqrafiya deyil, nəqliyyatdır. Uğurlu çatdırılma digər istiqamətdə də az şey sübut edir, çünki işlək yol iki maşından heç birinin vəziyyəti haqqında heç nə demir.

Noutbukunuzun hələ də öz qapıları var

Etibarsız seqmentə qoşulmaq maşınınızın dinlədiyi portlara kimin çata biləcəyini dəyişir. Fayl paylaşma xidməti, uzaqdan idarəetmə agenti və ya bütün interfeyslərə bağlanmış inkişaf serveri nə isə onu dayandırmasa, həmin seqmentdəki hər kəs üçün əlçatandır. Tunelə heç vaxt girməyən trafik onunla qorunmur. Tunel qalxmazdan əvvəl cavab verən dinləyici məhz o pəncərə üçün açıq qalır.

Tələb dardır və dəqiq ifadə olunmağa dəyər: noutbuk VPN son nöqtəsinə çatmalı, hotspotdakı əlaqəsiz cihazlar isə yerli xidmətlərə çatmamalıdır. Host firewall qaydaları bu sərhədi ifadə edir, platformanın öz paylaşma ayarları da onun bir hissəsini ifadə edir. Printer və ya portal addımı qəsdən əlavə etdiyiniz məhdud istisnadır, bütün hotspotun ofis-LAN etimadına layiq olduğuna sübut deyil.

Bəzi təşkilatlar iş əlaqəsi aktivkən yerli girişi də məhdudlaşdırır ki, bu mühəndislik deyil, siyasətdir. Periferik cihazı işlətmək üçün firewall-u söndürməzdən əvvəl o siyasəti oxuyun.

Həqiqətən nəyə qulaq asıldığını yoxlayın

Ayarlar səhifəsinə deyil, soketlərə baxın, çünki səhifə niyyəti, soket cədvəli isə maşını təsvir edir. Aşağıdakı iki siyahı hər dinləyən soketi qonşunun çata biləcəyi soketlərdən ayırır. Onları tuneli qoşmazdan əvvəl etibarsız seqmentdə işə salın.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Birinci əmr hər soketi göstərir, ikincisi isə loopbackdən kənara bağlananlara süzgəc tətbiq edir. 0.0.0.0 və ya :: üzərindəki xidmət simsiz olan da daxil olmaqla hər interfeysdə əlçatandır, eyni xidmət 127.0.0.1 üzərində isə seqmentdən ümumiyyətlə əlçatan deyil. Resolver sorğusu adın tunel yaranmazdan əvvəl hansı yolu tutduğunu təsdiqləyir, tutulmuş portallar məhz burada müdaxilə edir. Qoşulduqdan sonra siyahını təkrarlayın, çünki bəzi müştərilər cavabı dəyişən interfeyslər qaldırır.

Yalnız tunel qalxarkən görünən port daha az məruz qalır, baxmayaraq ki, onu bilmək yenə dəyərlidir. Mütləq siyahını deyil, fərqi qeyd edin, çünki tunelin əlavə etdiyi şey deltadır.

Sessiyanın ortasında yeni kimliyi qəbul etməyin

Gözlənilməz marşrut dəyişikliyi, yenidən qoşulma və ya portal yönləndirməsi başqa server kimliyini qəbul etməyə icazə deyil. Müştəri sertifikat və ya açar uyğunsuzluğu bildirirsə, bunu aradan qaldırılmalı əlaqə problemi kimi deyil, kimlik tapıntısı kimi qəbul edin. Portalı işlətmək üçün izahsız kök sertifikatı quraşdırmaq çatdırılma problemini etimad probleminə çevirir. Sonra etimad problemi onu yaradan səfərdən daha uzun yaşayır.

Portalın öz brauzer axınından istifadə edin, sonra tuneli yenidən qoşun və müştəri jurnalında təsdiqlədiyi kimliyi oxuyun. Kimlik nasazlığı qarşı tərəfin gözlədiyiniz kimsə olmadığını, çatdırılma nasazlığı isə qarşı tərəfin heç cavab vermədiyini bildirir. Birinci dayanmağa əsasdır, ikincisi isə başqa yol sınamağa əsasdır.

Əvvəlcə kəsinti davranışını qərarlaşdırın

Burada iki fərqli funksiya qarışdırılır. Yenidən qoşulma xidməti bərpa etməyə çalışır, bloklama siyasəti isə tunel söndüyü zaman hansı trafikə icazə verildiyini idarə edir. Heç biri işlək simsiz keçid təmin etmir və heç biri son nöqtənin təmiz olduğunu sübut etmir. Açıq seçin: yerli yoldan heç vaxt istifadə etməməli tətbiqlər üçün bağlı uğursuzluq, məqbuldursa tuneldən kənarda adi gəzintiyə icazə.

Seçimi yazın, çünki əksər müştərilərdə defolt bunlardan heç biri deyil və versiyaya görə dəyişir. Sonra mövcudluq vacibdirsə, öz data planı olan telefon hotspotu kimi alternativ giriş yolu təşkil edin. Məqbul qəbul testinin üç ayrı nəticəsi var: nəzərdə tutulan trafik yoxlanılmış tuneldən istifadə edir, əlaqəsiz yerli dinləyicilər əlçatmazdır və kəsinti seçdiyiniz davranışı yaradır.