Proč sdílená TAP VPN stále potřebuje HTTPS na portálu
TAP VPN ověřuje protějšek, ne službu za ním. Ponechte validaci názvu hostitele na portálu a izolujte sousedy, kterým nedůvěřujete.
Dvě zařízení mají platné přihlašovací údaje VPN a sdílejí jeden přemostěný ethernetový segment. Jen jedno z nich má odpovídat za kancelářský portál a druhé může na tomto segmentu stále nárokovat adresu portálu. Tunel udělal svou práci: ověřil oba protějšky a zašifroval každou cestu k serveru. Co neudělal, bylo potvrdit, které z nich vlastní název služby, a právě kvůli této mezeře portál stále potřebuje platný certifikát.
Co VPN vlastně ověřuje
Handshake VPN odpovídá na jednu otázku: který protějšek dokončil tento tunel a s jakým klíčovým materiálem. Tato odpověď je pro každý protějšek a každé spojení jiná a neříká nic o službách, které protějšek poté vystavuje. V segmentu TAP není protějšek ani jedna adresa, protože může předložit jakoukoli MAC a jakoukoli IP, kterou je most ochoten se naučit. Ověřování končí na konci tunelu, ne v aplikaci.
Oddělte tři otázky, místo abyste je slévali do jedné. Každá má svůj mechanismus a svůj způsob selhání.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Nasazení může mít dokonale ověřený tunel a zcela neověřenou službu za ním. Může mít také validovaný certifikát na hostiteli, jehož adresu druhé vrstvy si nárokuje jiný protějšek, a proto do návrhu patří obě kontroly, nikoli jedna místo druhé. Tabulka je celý argument ve třech řádcích.
ARP ve sdíleném segmentu není adresář
ARP mapuje adresu IPv4 na MAC na místním spoji a přijímá odpovědi od kohokoli na tomto spoji. V benevolentním přemostěném segmentu si protějšek může nárokovat adresu patřící jinému zařízení a most přeposílá rámce tomu, kdo odpověděl naposledy. Šifrování každé cesty klienta k serveru to nemění, protože rámce se dešifrují dřív, než dorazí do mostu. Hranice důvěry ARP je segment, ne tunel.
Podívejte se, co se hostitel skutečně naučil: ip neigh show vypisuje aktuální mapování a jejich stav a záznam, který během běžného provozu přeskakuje mezi dvěma MAC adresami, je symptom, který stojí za vyšetření, ne za odbytí. Ve zdravém malém segmentu zůstávají takové záznamy dlouho stabilní.
Izolace protějšků a politika mostu existují přesně pro tento případ. Směrovaný návrh je obvykle lepší odpověď, když je služba jen IP a zařízení nemají žádný důvod vidět navzájem své rámce.
Nechte validaci certifikátu tam, kde je služba
TLS aplikace odpovídá na otázku, kterou tunel nemůže: je to služba, ke které jsem chtěl dojít. Prohlížeč porovnává název hostitele s certifikátem a tato kontrola je jediná část řetězce, která pojmenovává portál, a ne protějšek.
Prohlédněte si, co server předkládá, než rozhodnete, že varování je kosmetické. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal vypíše řetězec a alternativní jména subjektu. Pokud zadané jméno v tomto seznamu chybí, varování je správné a opravit je třeba certifikát. Učit uživatele, aby ho odklikávali, mění funkční kontrolu na dekoraci.
Průvodce přemosťováním OpenVPN popisuje ethernetový model a politické možnosti kolem něj a je správným zdrojem pro to, co má segment dovolovat. Přečtěte si ho, než uvolníte pravidlo mostu, protože model, který popisuje, předpokládá každá kontrola výše.
Rozhodněte, zda mají tyto protějšky vůbec sdílet segment
Nejlevnější oprava obvykle je přestat sdílet druhou vrstvu, když je požadavkem jen dostupnost IP. Směrovaná VPN dává každému klientovi vlastní adresu, odstraňuje sdílenou broadcastovou doménu a mění provoz mezi protějšky na politické rozhodnutí místo výchozího nastavení. Portál pak má jednu adresu k ochraně a žádné sousedy, kteří by si ji mohli nárokovat.
Pokud segment musí zůstat, zkontrolujte nastavení na straně serveru, které klientům umožňuje dosáhnout na sebe: grep -n client-to-client /etc/openvpn/server.conf. Když je vypnuté, klientský provoz prochází serverem a lze ho tam filtrovat. Když je zapnuté, protějšky si vyměňují rámce přímo přes most a vašimi filtračními body jsou most a firewall hostitele.
Zapište, na jaké ochrany se každý hostitel skutečně spoléhá: ověření tunelu, izolace segmentu, nebo TLS aplikace. Hostitel, který se spoléhá na všechny tři, je v pořádku. Hostitel, který se spoléhá na první a předpokládá, že další dvě přišly s ní, je ten, kdo nakonec servíruje špatný obsah.