Veřejná Wi-Fi a VPN: co tunel nepokrývá

Zelený odznak, spokojený portál, fungující prohlížeč: to je celý viditelný příběh. Odznak pomlčuje, že šifrované spojení nese právě to bezdrátové spojení, před kterým vás má chránit. To spojení stále doručuje každý paket, stále vidí adresu cíle a stále rozhoduje, zda vůbec něco dorazí. Pohled na stranu notebooku v hotelovém připojení ukáže, které části tunel pokrývá a které nechává na vás.

Přístupové spojení nese vše

Tunel IPsec ESP zabaluje chráněný vnitřní paket do vnější hlavičky, kterou síť umí směrovat, a RFC 4303 oddíl 3.1.2 tento rozdíl popisuje. Vnitřní paket je to, co tunel chrání. Vnější hlavičku čte hotspot, aby jej předal dál. Jiné návrhy zapouzdřují jinak, ale plánovací otázka je stejná: která přístupová cesta toto spojení nese?

Selhání brány nebo spoj, který zahazuje pakety, zastaví doručení, aniž by odhalil obsah. Přechod na silnější šifru s tím nic neudělá, protože chybějící částí je doprava, ne kryptografie. Úspěšné doručení dokazuje v opačném směru stejně málo, protože funkční cesta nic neříká o stavu ani jednoho ze dvou strojů.

Váš notebook má pořád vlastní dveře

Připojení k nedůvěryhodnému segmentu mění, kdo se dostane na porty, na kterých váš stroj naslouchá. Služba sdílení souborů, agent vzdálené správy nebo vývojový server svázaný se všemi rozhraními je dostupný komukoli v tomto segmentu, pokud jej něco nezastaví. Provoz, který nikdy nevstoupí do tunelu, jím chráněn není. Naslouchající služba, která odpoví dřív, než je tunel nahoře, je vystavena přesně na ono okno.

Požadavek je úzký a stojí za přesnou formulaci: notebook musí dosáhnout koncového bodu VPN a nesouvisející zařízení na hotspotu nesmějí dosáhnout místních služeb. Pravidla hostitelského firewallu tuto hranici vyjadřují, a část jí vyjadřuje i vlastní nastavení sdílení platformy. Tiskárna nebo krok portálu je omezená výjimka, kterou přidáváte záměrně, ne důkaz, že celý hotspot si zaslouží důvěru kancelářské LAN.

Některé organizace také omezují místní přístup, dokud je aktivní pracovní spojení, což je politika, nikoli inženýrství. Přečtěte si tuto politiku, než vypnete firewall, aby periferie fungovala.

Zkontrolujte, co skutečně naslouchá

Dívejte se na sockety, ne na stránku nastavení, protože stránka popisuje záměr a tabulka socketů popisuje stroj. Dva seznamy níže oddělují každý naslouchající socket od těch, na které by se soused mohl dostat. Spusťte je v nedůvěryhodném segmentu před připojením tunelu.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

První příkaz zobrazí každý socket, druhý filtruje ty svázané mimo loopback. Služba na 0.0.0.0 nebo :: je dostupná na každém rozhraní, včetně bezdrátového, zatímco stejná služba na 127.0.0.1 není ze segmentu vůbec dostupná. Dotaz na resolver potvrzuje, kterou cestou jméno jde, než tunel existuje, a právě tam zasahují captive portály. Seznam po připojení zopakujte, protože někteří klienti zvedají rozhraní, která odpověď mění.

Port, který se objeví jen při běžícím tunelu, je méně vystavený, i když je o něm stále dobré vědět. Zaznamenejte rozdíl, ne absolutní seznam, protože delta je to, co tunel přidal.

Nepřijímejte novou identitu uprostřed relace

Neočekávaná změna trasy, opětovné připojení nebo přesměrování portálu není svolení přijmout jinou identitu serveru. Pokud klient hlásí neshodu certifikátu nebo klíče, berte to jako zjištění o identitě, ne jako konektivitu, kterou je třeba obejít. Instalace nevysvětleného kořenového certifikátu, aby portál fungoval, mění problém doručení na problém důvěry. A problém důvěry pak přežije cestu, která ho vytvořila.

Použijte vlastní tok prohlížeče portálu, potom tunel znovu připojte a v klientském protokolu přečtěte, kterou identitu ověřil. Selhání identity znamená, že protějšek není ten, koho jste čekali, zatímco selhání doručení znamená, že protějšek nikdy neodpověděl. První je důvod zastavit, druhé je důvod zkusit jinou cestu.

Nejprve rozhodněte chování při výpadku

Zaměňují se tu dvě různé funkce. Opětovné připojování se snaží obnovit službu, zatímco blokovací politika řídí, jaký provoz je povolen, dokud je tunel dole. Ani jedno neposkytuje funkční bezdrátové spojení a ani jedno nedokazuje, že koncový bod je čistý. Zvolte výslovně: uzavřené selhání pro aplikace, které nikdy nesmějí použít místní cestu, a povolení běžného prohlížení mimo tunel, pokud je to přijatelné.

Volbu zapište, protože výchozí hodnota ve většině klientů není ani jedna a liší se podle verze. Potom zajistěte alternativní přístupovou cestu, pokud záleží na dostupnosti, například telefonní hotspot s vlastním datovým plánem. Přijatelný akceptační test má tři oddělené výsledky: zamýšlený provoz používá ověřený tunel, nesouvisející místní naslouchající služby jsou nedostupné a výpadek vyvolá chování, které jste zvolili.