Sdílený účet VPN: limit zařízení není izolace klientů

Osm souběžných připojení je číslo z licenční stránky a neříká nic o tom, co těch osm zařízení může udělat sobě navzájem. Sdílené přihlášení může existovat vedle klíčů pro každou relaci a také vedle brány, která ráda přeposílá provoz jednoho klienta druhému. Chybou je považovat účet za bezpečnostní hranici. Ptejte se místo toho na čtyři oddělené věci: co bylo koupeno, co chrání tunel, co smí přecházet mezi peery a co může shodit místní spoj.

Co povolení připojení skutečně slibuje

Limit zařízení počítá, kolik relací poskytovatel přijme na jedno předplatné. Je to obchodní a provozní kontrola, ne prohlášení o identitě nebo izolaci. Někteří poskytovatelé vydávají samostatný certifikát pro každé zařízení pod jedním účtem; jiní znovu používají jeden údaj pro každé připojení. Rozdíl se ukáže při odvolání, protože samostatné údaje vám dovolí odříznout jedno zařízení, kdežto sdílené vám takovou možnost nedá.

Přečtěte si, jak poskytovatel vydává údaje, než budete cokoli předpokládat o oddělení klíčů. Samotný název účtu nic z toho neprozradí.

Zkontrolujte, zda brána přeposílá mezi klienty

Dosažitelnost mezi peery je rozhodnutí na straně serveru. V OpenVPN příslušný přepínač chybí, pokud se neobjeví v konfiguraci, ale moderní odkládání datové roviny mění, kde se pravidlo vynucuje.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfigurace bez této direktivy nechává provoz mezi peery na hostitelském firewallu, který jej stále může povolit. Když je odkládání aktivní, tunelové rozhraní obsluhuje jádro místo procesu v uživatelském prostoru, proto ověřujte počítadla pravidel, místo abyste věřili souboru. Blokování přeposílaného provozu mezi adresami tunelu izoluje klienty, aniž by se dotklo jejich přístupu k bráně. Potvrďte to sondou z jednoho klienta ke službě na druhém, a to před pravidlem i po něm.

Chraňte relaci dřív než peery

Ochrana tunelu a přístup mezi peery jsou různé vlastnosti a silná šifra neznamená izolaci. V režimu TLS si každý klient odvozuje vlastní relaci klíčů, takže jeden klient nemůže číst provoz druhého, i když jej brána přeposílá. Staré uspořádání se statickým klíčem sdílí jediný klíč mezi všemi, a proto má opětovné použití přihlášení tam mnohem horší následky. Prohlédněte si nakonfigurovaný režim, ne marketingovou stránku, a pak posuďte, zda sdílení účtu odpovídá dotčeným datům.

Ověřování služby na každém hostiteli je stále důležité, protože tunel dokazuje jen to, že klient dosáhl sítě, ne že má dosáhnout konkrétního démona.

Místní výpadky Wi-Fi nejsou kompromitací VPN

Spadlé připojení dokazuje, že selhal místní spoj, ne že někdo prolomil tunel. Rušení, ztracený pronájem DHCP a předání při roamingu ukončí relaci, aniž by se dotkly údajů nebo šifrovaného textu. Berte odpojení jako zjištění o dostupnosti a držte je odděleně od zjištění o důvěrnosti a přístupu mezi peery. Tam, kde místní síť není důvěryhodná, chraňte provoz od konce ke konci, místo abyste se spoléhali jen na tunel.

Zapište si čtyři odpovědi: povolení, model klíčů, politiku vůči peerům a závislost na místním spoji. Tento záznam mění mlhavou obavu ze sdíleného účtu v konkrétní opatření.