Zašto zajednički TAP VPN i dalje treba HTTPS na portalu
TAP VPN autentificira peera, a ne uslugu iza njega. Zadržite provjeru imena hosta na portalu i izolirajte susjede kojima ne vjerujete.
Dva uređaja imaju valjane VPN vjerodajnice i dijele jedan premosćeni Ethernet segment. Samo jedan od njih treba da odgovara za uredski portal, a drugi i dalje može prisvojiti adresu portala na tom segmentu. Tunel je obavio svoj posao: autentificirao je oba peera i šifrirao svaku putanju do servera. Ono što nije učinio jeste da potvrdi koji od njih posjeduje ime usluge, i upravo je taj jaz razlog zašto portalu i dalje treba valjan certifikat.
Šta VPN zapravo autentificira
VPN rukovanje odgovara na jedno pitanje: koji je peer dovršio ovaj tunel i s kojim ključnim materijalom. Taj odgovor vrijedi po peeru i po vezi i ne govori ništa o uslugama koje taj peer nakon toga izlaže. Na TAP segmentu peer nije čak ni jedna adresa, jer može predstaviti bilo koji MAC i bilo koji IP koji je most spreman naučiti. Autentifikacija se zaustavlja na kraju tunela, a ne na aplikaciji.
Razdvojite tri pitanja umjesto da ih sažimate u jedno. Svako ima svoj mehanizam i svoj način neuspjeha.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Implementacija može imati savršeno autentificiran tunel i potpuno neautentificiranu uslugu iza njega. Može imati i validiran certifikat na hostu čiju adresu drugog sloja prisvaja drugi peer, zbog čega obje kontrole pripadaju u dizajn, a ne jedna umjesto druge. Tabela je cijeli argument u tri reda.
ARP na zajedničkom segmentu nije imenik
ARP preslikava IPv4 adresu u MAC na lokalnoj vezi i prihvata odgovore od bilo koga na toj vezi. Na popustljivom premosćenom segmentu peer može prisvojiti adresu koja pripada drugom uređaju, a most prosljeđuje okvire onome ko je odgovorio posljednji. Šifriranje svake klijentske putanje do servera to ne mijenja, jer se okviri dešifriraju prije nego stignu do mosta. Granica povjerenja ARP-a je segment, a ne tunel.
Pogledajte šta je host zapravo naučio: ip neigh show prikazuje trenutna preslikavanja i njihovo stanje, a unos koji tokom normalnog rada prelazi između dvije MAC adrese simptom je koji treba istražiti, a ne odbaciti. Na zdravom malom segmentu ti unosi ostaju stabilni dugo vremena.
Izolacija peera i politika mosta postoje upravo za ovaj slučaj. Rutirana izvedba obično je bolji odgovor kada je usluga samo IP, a uređaji nemaju nikakav razlog da vide okvire jedni drugih.
Zadržite provjeru certifikata tamo gdje je usluga
TLS aplikacije odgovara na pitanje na koje tunel ne može: je li ovo usluga kojoj sam namjeravao pristupiti. Preglednik provjerava ime hosta prema certifikatu, i ta provjera je jedini dio lanca koji imenuje portal, a ne peera.
Pregledajte šta server predstavlja prije nego što zaključite da je upozorenje kozmetičko. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal ispisuje lanac i alternativna imena subjekta. Ako imena koje ste upisali nema na tom spisku, upozorenje je ispravno i certifikat je ono što treba popraviti. Učenje korisnika da ga preskaču pretvara radnu kontrolu u ukras.
Vodič za premosćavanje OpenVPN-a opisuje Ethernet model i opcije politike oko njega i pravi je izvor za to šta segment treba da dopusti. Pročitajte ga prije nego što olabavite pravilo mosta, jer model koji opisuje pretpostavka je svake provjere gore.
Odlučite treba li tim peerovima uopće dijeliti segment
Najjeftinije rješenje obično je prestati dijeliti drugi sloj kada je zahtjev samo IP dostupnost. Rutirani VPN daje svakom klijentu vlastitu adresu, uklanja zajedničku broadcast domenu i pretvara promet između peera u političku odluku umjesto zadanog ponašanja. Portal tada ima jednu adresu koju štiti i nema susjeda koji je mogu prisvojiti.
Ako segment mora ostati, provjerite serversku postavku koja klijentima omogućuje da dosegnu jedni druge: grep -n client-to-client /etc/openvpn/server.conf. Kada je onemogućena, klijentski promet prolazi kroz server i tamo se može filtrirati. Kada je omogućena, peerovi razmjenjuju okvire izravno kroz most, a vaše točke filtriranja su most i host firewall.
Zapišite na koje se zaštite svaki host zapravo oslanja: autentifikaciju tunela, izolaciju segmenta ili TLS aplikacije. Host koji se oslanja na sve tri je u redu. Host koji se oslanja na prvu i pretpostavlja da su druge dvije došle s njom jeste onaj koji na kraju poslužuje pogrešan sadržaj.