Dijeljeni VPN račun: ograničenje uređaja nije izolacija klijenata

Osam istovremenih veza je broj sa stranice licence i ne govori ništa o tome šta tih osam uređaja mogu učiniti jedan drugom. Dijeljeni login može postojati uz ključeve po sesiji, a može i uz gateway koji rado prosljeđuje promet jednog klijenta drugom. Greška je tretirati račun kao sigurnosnu granicu. Umjesto toga postavite četiri odvojena pitanja: šta je kupljeno, šta štiti tunel, šta smije prelaziti između partnera i šta može srušiti lokalnu vezu.

Šta dozvola za veze zapravo obećava

Ograničenje uređaja broji koliko će sesija provajder prihvatiti za jednu pretplatu. To je komercijalna i operativna kontrola, a ne izjava o identitetu ili izolaciji. Neki provajderi izdaju poseban certifikat za svaki uređaj pod jednim računom; drugi ponovo koriste jedan kredencijal za svaku vezu. Razlika se vidi pri opozivu, jer odvojeni kredencijali vam omogućavaju da isključite jedan uređaj, a dijeljeni vam ne ostavljaju tu mogućnost.

Pročitajte kako provajder izdaje kredencijale prije nego što pretpostavite bilo šta o razdvajanju ključeva. Sam naziv računa ne otkriva ništa od toga.

Provjerite da li gateway prosljeđuje između klijenata

Dostupnost između partnera je odluka na strani servera. Na OpenVPN relevantni prekidač izostaje osim ako se pojavi u konfiguraciji, ali moderno rasterećenje podatkovnog plana mijenja gdje se pravilo primjenjuje.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfiguracija bez te direktive ostavlja promet između partnera host vatrozidu, koji ga ipak može dozvoliti. Kada je rasterećenje aktivno, tunelskim interfejsom upravlja kernel, a ne proces u korisničkom prostoru, zato provjerite brojače pravila umjesto da vjerujete datoteci. Blokiranje proslijeđenog prometa između adresa tunela izolira klijente ne dirajući njihov pristup gatewayu. Potvrdite sondom s jednog klijenta prema servisu na drugom, i prije i poslije pravila.

Zaštitite sesiju prije partnera

Zaštita tunela i pristup partnera su različita svojstva, a jaka šifra ne znači izolaciju. U TLS režimu svaki klijent izvodi vlastite ključeve sesije, pa jedan klijent ne može čitati promet drugoga čak i kada ga gateway prenosi. Stari raspored sa statičkim ključem dijeli jedan ključ među svima, zato ponovna upotreba logina tamo ima mnogo gore posljedice. Pregledajte konfigurisani režim, a ne marketing stranicu, pa procijenite odgovara li dijeljenje računa dotičnim podacima.

Autentikacija servisa na svakom hostu i dalje je važna, jer tunel dokazuje samo da je klijent stigao do mreže, ne da treba stići do određenog demona.

Lokalni Wi-Fi kvarovi nisu kompromitovanje VPN-a

Prekinuta veza dokazuje da je lokalna karika otkazala, a ne da je neko razbio tunel. Smetnje, izgubljen DHCP zakup i prelaz pri roamingu prekidaju sesiju ne dirajući kredencijale ni šifrirani tekst. Tretirajte prekid kao nalaz o dostupnosti i držite ga odvojeno od nalaza o povjerljivosti i pristupu partnera. Gdje lokalna mreža nije pouzdana, štitite promet od kraja do kraja umjesto da se oslanjate samo na tunel.

Zapišite četiri odgovora: dozvola, model ključeva, politika prema partnerima i zavisnost od lokalne veze. Taj zapis pretvara nejasnu brigu o dijeljenom računu u konkretne kontrole.