Агульны акаўнт VPN: ліміт прылад — гэта не ізаляцыя кліентаў

Восем адначасовых злучэнняў — гэта лік са старонкі ліцэнзіі, і ён нічога не кажа пра тое, што гэтыя восем прылад могуць зрабіць адна з адной. Агульны лагін можа суіснаваць з ключамі на кожную сесію, а таксама з шлюзам, які з задавальненнем перасылае трафік аднаго кліента іншаму. Памылка — лічыць акаўнт мяжой бяспекі. Замест гэтага задайце чатыры асобныя пытанні: што куплена, што абараняе тунель, што можа перасякаць паміж аднаранговымі вузламі і што можа абрынуць лакальнае злучэнне.

Што насамрэч абяцае дазвол на злучэнні

Ліміт прылад падлічвае, колькі сесій пастаўшчык прыме на адну падпіску. Гэта камерцыйнае і аперацыйнае кіраванне, а не заява пра ідэнтычнасць або ізаляцыю. Некаторыя пастаўшчыкі выдаюць асобны сертыфікат на кожную прыладу ў межах аднаго акаўнта; іншыя паўторна выкарыстоўваюць адны ўліковыя даныя для кожнага злучэння. Розніца праяўляецца пры адкліканні, бо асобныя ўліковыя даныя дазваляюць адрэзаць адну прыладу, а агульныя не пакідаюць такой магчымасці.

Прачытайце, як пастаўшчык выдае ўліковыя даныя, перш чым рабіць якія-небудзь высновы пра падзел ключоў. Сама назва акаўнта пра гэта нічога не кажа.

Праверце, ці перасылае шлюз паміж кліентамі

Дасяжнасць аднаранговых вузлоў — рашэнне на баку сервера. У OpenVPN адпаведны перамыкач адсутнічае, калі ён не пазначаны ў канфігурацыі, але сучасная разгрузка плоскасці даных мяняе месца прымянення правіла.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Канфігурацыя без гэтай дырэктывы пакідае трафік паміж вузламі міжсеткаваму экрану хоста, які ўсё яшчэ можа яго дазваляць. Калі разгрузка актыўная, тунельным інтэрфейсам займаецца ядро, а не працэс прасторы карыстальніка, таму правярайце лічыльнікі правілаў, а не давярайце файлу. Блакіроўка перасылаемага трафіку паміж адрасамі тунеля ізалюе кліентаў, не закранаючы іх доступ да шлюза. Пацвердзіце гэта спробай ад аднаго кліента да сэрвісу на другім — да правіла і пасля яго.

Абараніце сесію раней за вузлы

Ахова тунеля і доступ паміж вузламі — розныя ўласцівасці, і моцны шыфр не азначае ізаляцыі. У рэжыме TLS кожны кліент выводзіць уласныя ключы сесіі, таму адзін кліент не можа чытаць трафік іншага, нават калі шлюз яго перасылае. Старая схема са статычным ключом дзеліць адзін ключ паміж усімі, таму паўторнае выкарыстанне лагіна там мае куды горшыя наступствы. Праверце наладжаны рэжым, а не маркетынгавую старонку, і пасля ацаніце, ці падыходзіць агульны акаўнт для гэтых даных.

Аўтэнтыфікацыя сэрвісу на кожным хосце ўсё яшчэ важная, бо тунель даказвае толькі, што кліент дасягнуў сеткі, а не тое, што ён павінен дасягнуць пэўнага дэмана.

Лакальныя збоі Wi-Fi — не ўзлом VPN

Абарванае злучэнне даказвае, што лакальнае звяно адмовіла, а не тое, што хтосьці ўзламаў тунель. Перашкоды, страчаная арэнда DHCP і перадача пры роўмінгу — усё гэта спыняе сесію, не закранаючы ўліковыя даныя або шыфртэкст. Разглядайце адключэнне як знаходку пра даступнасць і трымайце яе асобна ад знаходак пра канфідэнцыйнасць і доступ паміж вузламі. Там, дзе лакальная сетка не заслугоўвае даверу, абараняйце трафік ад канца да канца, а не спадзейцеся толькі на тунель.

Запішыце чатыры адказы: дазвол, мадэль ключоў, палітыка вузлоў і залежнасць ад лакальнага звяна. Гэты запіс ператварае неакрэсленую трывогу пра агульны акаўнт у канкрэтныя меры кантролю.