Ortaq TAP VPN niyə hələ də portalda HTTPS tələb edir
TAP VPN arxasındakı xidməti deyil, həmyaşıdı doğrulayır. Host adı yoxlamasını portalda saxlayın və güvənmədiyiniz qonşuları izolyasiya edin.
İki cihaz etibarlı VPN kredensiallarına malikdir və bir körpülənmiş Ethernet seqmentini paylaşır. Onlardan yalnız biri ofis portalına cavab verməlidir, digəri isə həmin seqmentdə portal ünvanını yenə də iddia edə bilər. Tunel öz işini gördü: hər iki həmyaşıdı doğruladı və hər yolu serverə şifrələdi. Etmədiyi şey onlardan hansının xidmət adına sahib olduğunu təsdiqləmək idi və portalın hələ də etibarlı sertifikata ehtiyac duymasının səbəbi məhz bu boşluqdur.
VPN əslində nəyi doğrulayır
VPN əl sıxması bir suala cavab verir: hansı həmyaşıd bu tuneli hansı açar materialı ilə tamamladı. Bu cavab hər həmyaşıd və hər bağlantı üçün ayrıdır və həmin həmyaşıdın sonradan təqdim etdiyi xidmətlər barədə heç nə demir. TAP seqmentində həmyaşıd hətta tək ünvan deyil, çünki körpünün öyrənməyə hazır olduğu istənilən MAC və istənilən IP-ni təqdim edə bilər. Doğrulama tunelin son nöqtəsində dayanır, tətbiqdə yox.
Üç sualı birinə birləşdirmək əvəzinə onları ayırın. Hər birinin öz mexanizmi və öz uğursuzluq rejimi var.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Yerləşdirmədə tam doğrulanmış tunel və onun arxasında tamamilə doğrulanmamış xidmət ola bilər. İkinci qat ünvanını başqa həmyaşıdın iddia etdiyi hostda təsdiqlənmiş sertifikat da ola bilər; buna görə dizaynda biri digərini əvəz etmək əvəzinə hər iki nəzarət olmalıdır. Cədvəl bütün arqumenti üç sətirdə verir.
Ortaq seqmentdə ARP kataloq deyil
ARP IPv4 ünvanını yerli keçiddə MAC ünvanına uyğunlaşdırır və həmin keçiddəki hər kəsin cavabını qəbul edir. İcazəli körpülənmiş seqmentdə həmyaşıd başqa cihaza aid ünvanı iddia edə bilər və körpü kadrları ən son cavab verənə ötürür. Hər müştəri yolunu serverə şifrələmək bunu dəyişmir, çünki kadrlar körpüyə çatmazdan əvvəl açılır. ARP-nin etimad sərhədi tunel deyil, seqmentdir.
Hostun həqiqətən nə öyrəndiyinə baxın: ip neigh show cari uyğunlaşmaları və onların vəziyyətini sadalayır və normal iş zamanı iki MAC ünvanı arasında dəyişən qeyd rədd edilmək əvəzinə araşdırılmalı əlamətdir. Sağlam kiçik seqmentdə bu qeydlər uzun müddət sabit qalır.
Həmyaşıd izolyasiyası və körpü siyasəti məhz bu hal üçün mövcuddur. Xidmət yalnız IP olduqda və cihazların bir-birinin kadrlarını görməyə heç bir səbəbi olmadıqda marşrutlaşdırılmış dizayn adətən daha yaxşı cavabdır.
Sertifikat yoxlamasını xidmətin yanında saxlayın
Tətbiq TLS-i tunelin verə bilmədiyi suala cavab verir: çatmaq istədiyim xidmət budurmu. Brauzer host adını sertifikatla qarşılaştırır və zəncirin portala aid olan, həmyaşıda aid olmayan yeganə hissəsi məhz bu yoxlamadır.
Xəbərdarlığın kosmetik olduğuna qərar verməzdən əvvəl serverin nə təqdim etdiyini yoxlayın. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal zənciri və subyekt alternativ adlarını çap edir. Yazdığınız ad həmin siyahıda yoxdursa, xəbərdarlıq düzgündür və düzəldilməli olan sertifikatdır. İstifadəçilərə onu keçməyi öyrətmək işlək nəzarəti bəzəyə çevirir.
OpenVPN körpüləmə təlimatı Ethernet modelini və ətrafındakı siyasət seçimlərini təsvir edir və seqmentin nəyə icazə verməli olduğu üçün düzgün mənbədir. Körpü qaydasını yumşaltmazdan əvvəl onu oxuyun, çünki təsvir etdiyi model yuxarıdakı hər yoxlamanın əsasını təşkil edir.
Həmin həmyaşıdlar ümumiyyətlə seqmenti paylaşmalıdırmı
Ən ucuz düzəliş adətən tələb yalnız IP əlçatanlığı olduqda ikinci qatı paylaşmağı dayandırmaqdır. Marşrutlaşdırılmış VPN hər müştəriyə öz ünvanını verir, ortaq yayım domenini aradan qaldırır və həmyaşıdlar arası trafiki standart əvəzinə siyasət qərarına çevirir. Sonra portalın qorunacaq bir ünvanı olur və onu iddia edə biləcək qonşusu qalmır.
Seqment qalmalıdırsa, müştərilərin bir-birinə çatmasına imkan verən server tərəfi parametrini yoxlayın: grep -n client-to-client /etc/openvpn/server.conf. Söndürüldükdə müştəri trafiki serverdən keçir və orada filtrlənə bilər. Yandırıldıqda həmyaşıdlar kadrları birbaşa körpüdən mübadilə edir və filtrləmə nöqtələriniz körpü ilə host firewall olur.
Hər hostun həqiqətən hansı qorumalara güvəndiyini yazın: tunel doğrulaması, seqment izolyasiyası və ya tətbiq TLS-i. Üçünə də güvənən host yaxşıdır. Birinciyə güvənib digər ikisinin onunla birlikdə gəldiyini fərz edən host isə sonda səhv məzmun təqdim edən hostdur.