Обществен Wi-Fi и VPN: какво тунелът не покрива

Зелена значка, доволен портал, работещ браузър: това е цялата видима история. Значката пропуска, че криптираната връзка се пренася именно от безжичната връзка, от която би трябвало да ви пази. Тази връзка все още доставя всеки пакет, все още вижда адреса на крайната точка и все още решава дали нещо изобщо ще пристигне. Разглеждането на страната на лаптопа в хотелска връзка показва кои части тунелът покрива и кои оставя на вас.

Пътят за достъп носи всичко

Тунелът IPsec ESP обвива защитен вътрешен пакет във външен заглавен блок, който мрежата може да маршрутизира, а RFC 4303 раздел 3.1.2 обяснява това разделение. Вътрешният пакет е това, което тунелът защитава. Външният заглавен блок е това, което хотспотът чете, за да го препрати. Други дизайни капсуловат по различен начин, но въпросът за планиране е същият: кой път за достъп носи тази връзка?

Отказ на шлюза или връзка, която изпуска пакети, спира доставката, без да разкрива съдържание. Преминаването към по-силен шифър не помага за това, защото липсващата част е транспорт, а не криптография. Успешната доставка доказва също толкова малко в обратната посока, тъй като работещият път не казва нищо за състоянието на която и да е от двете машини.

Лаптопът ви все още има свои врати

Присъединяването към ненадежден сегмент променя кой може да достигне портовете, на които слуша машината ви. Услуга за споделяне на файлове, агент за отдалечено администриране или сървър за разработка, обвързан с всички интерфейси, е достъпен за всеки в този сегмент, освен ако нещо не го спре. Трафикът, който никога не влиза в тунела, не е защитен от него. Слушател, който отговаря преди тунелът да е вдигнат, е изложен точно за този прозорец.

Изискването е тясно и си струва да се формулира точно: лаптопът трябва да достига крайната точка на VPN, а несвързаните устройства в хотспота не трябва да достигат локални услуги. Правилата на хост-файъруола изразяват тази граница, а собствените настройки за споделяне на платформата също изразяват част от нея. Принтер или стъпка в портала е ограничено изключение, което добавяте умишлено, а не доказателство, че целият хотспот заслужава доверието на офис LAN.

Някои организации също ограничават локалния достъп, докато работната връзка е активна, което е политика, а не инженерство. Прочетете тази политика, преди да изключите файъруол, за да проработи периферно устройство.

Проверете какво всъщност слуша

Гледайте сокетите, а не страницата с настройки, защото страницата описва намерението, а таблицата на сокетите описва машината. Двата списъка по-долу отделят всеки слушащ сокет от тези, които съсед би могъл да достигне. Изпълнете ги в ненадеждния сегмент, преди да свържете тунела.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Първата команда показва всеки сокет, а втората филтрира до тези, обвързани извън loopback. Услуга на 0.0.0.0 или :: е достъпна на всеки интерфейс, включително безжичния, докато същата услуга на 127.0.0.1 изобщо не е достъпна от сегмента. Заявката към резолвера потвърждава кой път поема името, преди тунелът да съществува, и точно там се намесват пленените портали. Повторете списъка след свързване, защото някои клиенти вдигат интерфейси, които променят отговора.

Порт, който се появява само докато тунелът е вдигнат, е по-малко изложен, макар че все пак си струва да се знае. Записвайте разликата, а не абсолютния списък, защото делтата е това, което тунелът е добавил.

Не приемайте нова самоличност по средата на сесията

Неочаквана промяна на маршрута, повторно свързване или пренасочване от портал не е разрешение да приемете различна самоличност на сървъра. Ако клиентът съобщи за несъответствие на сертификат или ключ, третирайте го като констатация за самоличност, а не като свързаност, която да се заобикаля. Инсталирането на необяснен коренов сертификат, за да проработи портал, превръща проблем с доставката в проблем с доверието. После проблемът с доверието надживява пътуването, което го е създало.

Използвайте собствения браузърен поток на портала, след което свържете тунела отново и прочетете клиентския журнал за самоличността, която е проверил. Отказът на самоличност означава, че отсрещната страна не е тази, която очаквате, докато отказът на доставка означава, че отсрещната страна никога не е отговорила. Първото е причина да спрете, а второто е причина да опитате друг път.

Първо решете поведението при прекъсване

Тук се бъркат две различни функции. Повторното свързване се опитва да възстанови услугата, докато блокиращата политика контролира кой трафик е разрешен, докато тунелът е спрян. Нито едното не осигурява работеща безжична връзка, нито едното не доказва, че крайната точка е чиста. Изберете изрично: затворен отказ за приложения, които никога не бива да използват локалния път, и разрешете обикновено сърфиране извън тунела, ако това е приемливо.

Запишете избора, защото по подразбиране при повечето клиенти няма нито едно от двете и той варира според версията. След това осигурете алтернативен път за достъп, ако наличността е важна, например телефонен хотспот със собствен план за данни. Приемлив тест за приемане има три отделни резултата: предназначеният трафик използва проверения тунел, несвързаните локални слушатели са недостъпни, а прекъсването поражда поведението, което сте избрали.