Ortaq VPN hesabı: cihaz limiti müştəri təcridi deyil

Səkkiz eyni vaxtlı bağlantı lisenziya səhifəsindəki bir rəqəmdir və bu səkkiz cihazın bir-birinə nə edə biləcəyi barədə heç nə demir. Ortaq giriş sessiya başına açarlarla birgə mövcud ola bilər, həm də bir müştərinin trafikini digərinə məmnuniyyətlə ötürən şlüz ilə birgə mövcud ola bilər. Səhv hesabı təhlükəsizlik sərhədi saymaqdır. Əvəzində dörd ayrı sual verin: nə alınıb, tuneli nə qoruyur, qonşular arasında nə keçə bilər və yerli əlaqəni nə sıradan çıxara bilər.

Bağlantı icazəsi əslində nə vəd edir

Cihaz limiti provayderin bir abunə üçün neçə sessiya qəbul edəcəyini sayır. Bu, kommersiya və əməliyyat nəzarətidir, şəxsiyyət və ya təcrid barədə bəyanat deyil. Bəzi provayderlər bir hesab altında hər cihaz üçün ayrıca sertifikat verir; digərləri hər bağlantıda bir etimadnaməni təkrar istifadə edir. Fərq ləğv vaxtı üzə çıxır, çünki ayrı etimadnamələr bir cihazı kəsməyə imkan verir, ortaq olan isə sizə belə seçim qoymur.

Açar ayrılması barədə heç nə fərz etməzdən əvvəl provayderin etimadnamələri necə verdiyini oxuyun. Hesab adının özü bunlardan heç birini açmır.

Şlüzün müştərilər arasında ötürmə edib-etmədiyini yoxlayın

Qonşular arası əlyetənlik server tərəfində verilən qərardır. OpenVPN üzərində müvafiq açar konfiqurasiyada görünməzsə yoxdur, lakin müasir verilənlər müstəvisi ofloud qaydanın harada tətbiq olunduğunu dəyişir.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Həmin göstərişi olmayan konfiqurasiya qonşu trafikini host müdafiə divarına buraxır, o da hələ də ona icazə verə bilər. Ofloud aktiv olduqda tunel interfeysini istifadəçi məkanı prosesi deyil, nüvə idarə edir, ona görə fayla güvənmək əvəzinə qayda sayğaclarını yoxlayın. Tunel ünvanları arasında ötürülən trafiki bloklamaq müştəriləri şlüzə çıxışlarına toxunmadan təcrid edir. Bunu bir müştəridən digərindəki xidmətə sınaqla, qaydadan əvvəl və sonra təsdiqləyin.

Sessiyanı qonşulardan əvvəl qoruyun

Tunel mühafizəsi və qonşu girişi fərqli xassələrdir və güclü şifr təcrid demək deyil. TLS rejimində hər müştəri öz sessiya açarlarını çıxarır, buna görə şlüz onu ötürsə də bir müştəri digərinin trafikini oxuya bilməz. Köhnə statik açar düzümü hamı arasında tək açar paylaşır, buna görə orada girişi təkrar istifadə etməyin nəticələri qat-qat pisdir. Marketinq səhifəsini deyil, konfiqurasiya olunmuş rejimi yoxlayın, sonra hesab paylaşımının sözügedən məlumatlara uyğun olub-olmadığını qiymətləndirin.

Hər hostda xidmət autentifikasiyası yenə də vacibdir, çünki tunel yalnız müştərinin şəbəkəyə çatdığını sübut edir, konkret demona çatmalı olduğunu deyil.

Yerli Wi-Fi nasazlıqları VPN pozuntusu deyil

Qopmuş bağlantı yerli əlaqənin uğursuz olduğunu sübut edir, kimsənin tuneli qırdığını deyil. Müdaxilə, itirilmiş DHCP icarəsi və rouminq keçidi hamısı etimadnamələrə və ya şifrmətnə toxunmadan sessiyanı bitirir. Bağlantının kəsilməsini mövcudluq qeydi kimi qəbul edin və onu məxfilik və qonşu girişi qeydlərindən ayrı saxlayın. Yerli şəbəkənin etibarsız olduğu yerlərdə yalnız tunelə söykənmək əvəzinə trafiki başdan-başa qoruyun.

Dörd cavabı yazın: icazə, açar modeli, qonşu siyasəti və yerli əlaqədən asılılıq. Bu qeyd ortaq hesabla bağlı qeyri-müəyyən narahatlığı konkret nəzarətlərə çevirir.