Публічны Wi-Fi і VPN: што тунэль не закрывае

Зялёны бэйдж, задаволены партал, працуючы браўзер: гэта ўся бачная гісторыя. Бэйдж апускае тое, што шыфраванае злучэнне пераносіцца менавіта тым бессідратовым звяном, ад якога яно павінна вас абараняць. Гэтае звяно ўсё яшчэ дастаўляе кожны пакет, усё яшчэ бачыць адрас канчатковай кропкі і ўсё яшчэ вырашае, ці нешта прыбудзе наогул. Разгляд боку ноўтбука ў гатэльным злучэнні паказвае, якія часткі тунэль закрывае, а якія пакідае вам.

Звяно доступу пераносіць усё

Тунэль IPsec ESP заварочвае абаронены ўнутраны пакет у знешні загаловак, які сетка можа маршрутызаваць, а RFC 4303 раздзел 3.1.2 тлумачыць гэты падзел. Унутраны пакет — гэта тое, што абараняе тунэль. Знешні загаловак — гэта тое, што чытае хотспот, каб пераслаць яго. Іншыя схемы інкапсулююць інакш, але пытанне планавання тое ж: які шлях доступу пераносіць гэтае злучэнне?

Збой шлюза або звяно, якое губляе пакеты, спыняе дастаўку, не раскрываючы змест. Пераход да мацнейшага шыфра нічога тут не дае, бо не хапае транспарту, а не крыптаграфіі. Паспяховая дастаўка ў іншым кірунку даказвае так жа мала, бо працоўны шлях нічога не кажа пра стан любой з дзвюх машын.

У вашага ноўтбука ўсё яшчэ ёсць свае дзверы

Далучэнне да недаверанага сегмента змяняе тое, хто можа дасягнуць портаў, якія слухае ваша машына. Сэрвіс абагульвання файлаў, агент аддаленага адміністравання або сервер распрацоўкі, прывязаны да ўсіх інтэрфейсаў, дасягальны любому ў гэтым сегменце, пакуль нешта яго не спыніць. Трафік, які ніколі не ўваходзіць у тунэль, ім не абаронены. Слухач, які адказвае да ўзняцця тунэля, адкрыты менавіта на гэтае акно.

Патрабаванне вузкае і вартае дакладнай фармулёўкі: ноўтбук павінен дасягаць канчатковай кропкі VPN, а староннія прылады ў хотспоце не павінны дасягаць лакальных сэрвісаў. Правілы фаервола на хасце выражаюць гэтую мяжу, а ўласныя налады абагульвання платформы таксама выражаюць частку яе. Прынтар або крок партала — гэта абмежаванае выключэнне, якое вы дадаяце свядома, а не доказ таго, што ўвесь хотспот заслугоўвае даверу офіснай LAN.

Некаторыя арганізацыі таксама абмяжоўваюць лакальны доступ, пакуль актыўнае працоўнае злучэнне, і гэта палітыка, а не інжынерыя. Прачытайце гэтую палітыку, перш чым адключаць фаервол, каб запрацавала перыферыя.

Праверце, што насамрэч слухае

Глядзіце на сокеты, а не на старонку налад, бо старонка апісвае намер, а табліца сокетаў апісвае машыну. Два спісы ніжэй аддзяляюць кожны слухаючы сокет ад тых, да якіх можа дасягнуць сусед. Запусціце іх у недавераным сегменце перад падключэннем тунэля.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Першая каманда паказвае кожны сокет, а другая фільтруе тыя, што прывязаны па-за loopback. Сэрвіс на 0.0.0.0 або :: даступны на кожным інтэрфейсе, уключаючы бессідратовы, а той жа сэрвіс на 127.0.0.1 зусім недасягальны з сегмента. Запыт рэзалвера пацвярджае, які шлях бярэ імя да існавання тунэля, і менавіта тут умяшваюцца палонныя парталы. Паўтарыце спіс пасля падключэння, бо некаторыя кліенты ўздымаюць інтэрфейсы, якія змяняюць адказ.

Порт, які з'яўляецца толькі падчас працы тунэля, менш адкрыты, хоць пра яго ўсё яшчэ варта ведаць. Запішыце розніцу, а не абсалютны спіс, бо дэльта — гэта тое, што дадаў тунэль.

Не прымайце новую асобу пасярод сеансу

Нечаканая змена маршруту, перападключэнне або перанакіраванне партала — не дазвол прымаць іншую асобу сервера. Калі кліент паведамляе пра неадпаведнасць сертыфіката або ключа, разглядайце гэта як знойдзеную праблему асобы, а не як злучэнне, якое трэба абыйсці. Усталяванне невытлумачанага каранёвага сертыфіката, каб запрацаваў партал, ператварае праблему дастаўкі ў праблему даверу. Потым праблема даверу жыве даўжэй за паездку, што яе стварыла.

Скарыстайцеся ўласным браўзерным патокам партала, затым падключыце тунэль зноў і прачытайце кліенцкі журнал пра асобу, якую ён праверыў. Збой асобы азначае, што партнёр не той, каго вы чакалі, а збой дастаўкі азначае, што партнёр ніколі не адказаў. Першае — прычына спыніцца, другое — прычына паспрабаваць іншы шлях.

Спачатку вызначце паводзіны пры перапынку

Тут блытаюць дзве розныя функцыі. Перападключэнне спрабуе аднавіць паслугу, а палітыка блакавання кантралюе, які трафік дазволены, пакуль тунэль не працуе. Ні адно не дае працоўнага бессідратовага звяна, і ні адно не даказвае, што канчатковая кропка чыстая. Выбірайце яўна: закрыты адказ для праграм, якія ніколі не павінны выкарыстоўваць лакальны шлях, і дазвол звычайнага аглядання па-за тунэлем, калі гэта прымальна.

Запішыце выбар, бо ў большасці кліентаў па змаўчанні няма ні аднаго, і ён залежыць ад версіі. Затым арганізуйце альтэрнатыўны шлях доступу, калі важная даступнасць, напрыклад, тэлефонны хотспот з уласным тарыфам даных. Прымальны тэст прыёмкі мае тры асобныя вынікі: мэтавы трафік ідзе праз правераны тунэль, староннія лакальныя слухачы недасягальныя, а перапынак дае абраныя вамі паводзіны.