Un mewngofnod VPN ar gyfrifiadur a rennir: pwy arall sy'n cael y llwybr?

Mae rhannu gorsaf waith yn codi cwestiwn na chaiff gliniadur defnyddiwr sengl ei ateb byth: unwaith y bydd un person yn dilysu'r twnnel, pwy arall all ei ddefnyddio? Mae'r mewngofnod yn nodi goddrych, ac mae'r llwybr a osodir yn disgrifio cwmpas, ac nid yw'r ddau beth yn yr un gwrthrych. Rhyngddynt mae'r system weithredu, cyfluniad y cleient a'r hyn y mae'r gwasanaeth preifat yn ei fynnu ar ei liwt ei hun. Cymharu'r pwyntiau gorfodi yw'r unig ffordd i ateb y cwestiwn heb ddyfalu.

Un mewngofnod, sawl cwmpas

Mae dilysu'n ateb pwy a ganiatawyd. Mae'r llwybr yn ateb pa becynnau a gaiff adael drwy'r twnnel. Mae awdurdodi'n ateb pa wasanaeth a fydd yn derbyn y cysylltiad canlyniadol, ac nid oes yr un o'r tri yn awgrymu'r nesaf.

Twnnel lled-gyfan yw'r rhagosodiad cyffredin, ac mae'n gwneud y bwlch yn amlwg. Mae'r llwybr yn nhabl y cnewyllyn, felly gall pob proses sy'n defnyddio'r tabl hwnnw gyrraedd y rhwydwaith preifat, gan gynnwys un a gychwynnwyd gan ddefnyddiwr na welodd y deialog VPN erioed. Nid diffyg yn y twnnel yw hyn; dyna ystyr llwybr system-gyfan. Gall y gwasanaeth preifat wrthod y cysylltiad o hyd, a dyna pam mae cyrraeddadwyedd a chaniatâd angen atebion ar wahân.

Mae ysgrifennu'r pedwar cwestiwn i lawr cyn profi yn atal yr adolygiad rhag cwympo i un ohonynt.

Lle mae'r ffin mewn gwirionedd

Mae pedwar trefniad yn cwmpasu'r rhan fwyaf o beiriannau: twnnel lled-gyfan, cysylltiad fesul defnyddiwr, rhestr ganiatáu fesul ap, a gofod enw rhwydwaith neu beiriant rhithwir ar wahân.

Mae pob un yn gosod y pwynt gorfodi yn rhywle gwahanol, ac mae'r gwahaniaethau'n bwysicach na'r labeli. Gorfodir cysylltiad fesul defnyddiwr gan ganiatadau'r proffil yn hytrach na sgrin fewngofnodi'r bwrdd gwaith. Gorfodir rhestr ganiatáu fesul ap y tu mewn i'r cleient, sy'n penderfynu beth y bydd yn ei gludo. Mae gofod enw neu VM yn gorfodi ar ffin y rhyngwyneb, felly ni all proses y tu mewn weld llwybr y gwesteiwr o gwbl. Nid yw nifer y sgriniau mewngofnodi ar y peiriant yn dweud dim am yr un ohonynt.

Mae darllen y tabl res wrth res yn dangos mai'r cwestiwn go iawn yw nid a oes arwahanrwydd, ond ble y'i gweithredir.

Cymharwch bedwar pwynt gorfodi

Ar Linux y tabl llwybrau yw'r peth cyntaf i'w archwilio, oherwydd daw twnnel lled-gyfan i'r amlwg yno ac nid yw gofod enw yn gwneud. Mae rhedeg yr edrychiad fel yr ail ddefnyddiwr yn gam y mae pobl yn ei hepgor; mae'r ateb yn wahanol i'r un a gawsant fel hwy eu hunain, ac mae hynny'n esbonio'r adroddiad.

Mae'r ddau wiriad nesaf yn edrych ar bolisi yn hytrach na llwybro. Mae rheol wal dân sy'n cyfateb i UID yn berthnasol i draffig a gynhyrchir yn lleol, felly gall wahanu dau ddefnyddiwr ar un gwesteiwr hyd yn oed pan fydd y ddau'n rhannu'r llwybr. Mae proffil cysylltiad â rhestr ganiatadau penodol yn cael ei orfodi gan y rheolwr rhwydwaith adeg ei actifadu. Nid oes angen i'r naill wiriad na'r llall newid y twnnel, a dyna pam maent yn werth eu gwneud cyn ailddylunio unrhyw beth.

ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuid

Os yw'r ail edrychiad yn dangos llwybr y twnnel, nid yw'r ffin lle'r oedd y dyluniad yn tybio.

Mae rheolau sesiwn cyfamserol yn reolaeth ar wahân

Yn aml mae pyrth yn cyfyngu ar faint o sesiynau y gall un cyfrif eu dal, ac nid oes gan y cyfyngiad hwnnw ddim i'w wneud â defnyddwyr lleol. Mae'n cyfyngu'r cyfrif, felly gall ail berson sy'n mewngofnodi â'r un manylion terfynu twnnel y person cyntaf.

Darllenwch y methiant cyn tybio problem arwahanrwydd leol. Mae cyfyngiad sesiwn yn cynhyrchu datgysylltiad wrth y porth, tra bod problem cwmpas yn cynhyrchu twnnel sy'n gweithio nad yw'n cludo traffig y defnyddiwr arall. Mae'r ddau symptom hynny'n arwain at atgyweiriadau hollol wahanol. Cadwch neges union y cleient, oherwydd fel arfer mae'n enwi'r rheol. Gofynnwch i berchentyr y proffil am y llif gwaith a gymeradwywyd yn lle osgoi'r cyfyngiad.

Nid yw peiriant rhithwir yn esgusodi neb rhag y rheol honno, ac mae'n ychwanegu ei ddyluniad rhwydwaith a manylion ei hun.

Profwch y cyd-destun sy'n bwysig i chi

Profwch y defnyddiwr a'r ap a fwriadwyd, yna profwch gyd-destun y dylid ei wrthod. Mae adolygiad sy'n profi bod y cyfrinair gwreiddiol yn gweithio wedi profi dilysu a dim arall.

sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'

Cofnodwch y pwynt gorfodi wrth bob canlyniad: y tabl llwybrau, rheol UID, caniatâd proffil, neu bolisi sesiwn y porth. Mae'r cofnod hwnnw'n gwneud y newid nesaf yn adolygadwy. Mae hefyd yn atal yr un cwestiwn rhag cael ei ailagor bob tro y bydd rhywun yn sylwi ar ail sgrin fewngofnodi. Nid yw cyrraeddadwyedd yn awdurdodiad, ac nid yw'r naill na'r llall yn arwahanrwydd.