Wi-Fi cyhoeddus a VPN: yr hyn nad yw'r twnnel yn ei gynnwys

Bathodyn gwyrdd, porthladd bodlon, porwr sy'n gweithio: dyna'r stori weladwy gyfan. Yr hyn y mae'r bathodyn yn ei hepgor yw bod y cysylltiad amgryptiedig yn cael ei gludo gan yr union ddolen di-wifr y dylai fod yn eich amddiffyn rhagddi. Mae'r ddolen honno'n dal i gludo pob pecyn, yn dal i weld cyfeiriad y pen draw, ac yn dal i benderfynu a yw unrhyw beth yn cyrraedd o gwbl. Mae cerdded ochr y gliniadur i gysylltiad gwesty yn dangos pa rannau y mae'r twnnel yn eu cynnwys a pha rannau y mae'n eu gadael i chi.

Y ddolen fynediad sy'n cludo popeth

Mae twnnel IPsec ESP yn lapio pecyn mewnol gwarchodedig y tu mewn i bennawd allanol y gall y rhwydwaith ei lwybro, ac mae RFC 4303 adran 3.1.2 yn egluro'r rhaniad hwnnw. Y pecyn mewnol yw'r hyn y mae'r twnnel yn ei ddiogelu. Y pennawd allanol yw'r hyn y mae'r hotspot yn ei ddarllen er mwyn ei anfon ymlaen. Mae cynlluniau eraill yn crynhoi'n wahanol, ond mae'r cwestiwn cynllunio yr un fath: pa lwybr mynediad sy'n cludo'r cysylltiad hwn?

Mae methiant porth neu ddolen sy'n gollwng pecynnau yn atal cyflenwi heb ddatgelu cynnwys. Nid yw newid i seiffr cryfach yn gwneud dim i hynny, oherwydd y darn coll yw cludiant yn hytrach na chryptograffeg. Mae cyflenwi llwyddiannus yn profi llawn cymaint yn y cyfeiriad arall, gan nad yw llwybr sy'n gweithio yn dweud dim am gyflwr y naill beiriant na'r llall.

Mae gan eich gliniadur ei ddrysau ei hun o hyd

Mae ymuno â segment anniogel yn newid pwy all gyrraedd y pyrth y mae eich peiriant yn gwrando arnynt. Mae gwasanaeth rhannu ffeiliau, asiant gweinyddu o bell neu weinydd datblygu wedi'i rwymo i bob rhyngwyneb yn gyrraeddadwy i unrhyw un ar y segment hwnnw oni bai bod rhywbeth yn ei atal. Nid yw traffig nad yw byth yn mynd i mewn i'r twnnel yn cael ei ddiogelu ganddo. Mae gwrandawr sy'n ateb cyn bod y twnnel i fyny yn agored yn union ar gyfer y ffenestr honno.

Mae'r gofyniad yn gul ac yn werth ei ddatgan yn fanwl: rhaid i'r gliniadur gyrraedd pen draw'r VPN, ac na ddylai dyfeisiau diberthyn ar y hotspot gyrraedd gwasanaethau lleol. Mae rheolau mur cadarn y gwesteiwr yn mynegi'r ffin honno, ac mae gosodiadau rhannu'r platfform ei hun yn mynegi rhan ohoni hefyd. Mae argraffydd neu gam porth yn eithriad cyfyngedig yr ydych yn ei ychwanegu'n fwriadol, nid yn dystiolaeth bod y hotspot cyfan yn haeddu ymddiriedaeth LAN swyddfa.

Mae rhai sefydliadau hefyd yn cyfyngu mynediad lleol tra bod cysylltiad gwaith yn weithredol, sy'n bolisi yn hytrach na pheirianneg. Darllenwch y polisi hwnnw cyn diffodd mur cadarn i wneud i berifferol weithio.

Gwiriwch beth sy'n gwrando mewn gwirionedd

Edrychwch ar y socedi yn hytrach nag ar y dudalen osodiadau, oherwydd mae'r dudalen yn disgrifio bwriad ac mae'r tabl socedi yn disgrifio'r peiriant. Mae'r ddau restr isod yn gwahanu pob soced gwrando oddi wrth y rhai y gallai cymydog eu cyrraedd. Rhedwch nhw ar y segment anniogel cyn cysylltu'r twnnel.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Mae'r gorchymyn cyntaf yn dangos pob soced, ac mae'r ail yn hidlo i'r rhai sydd wedi'u rhwymo y tu hwnt i loopback. Mae gwasanaeth ar 0.0.0.0 neu :: ar gael ar bob rhyngwyneb, gan gynnwys yr un di-wifr, tra nad yw'r un gwasanaeth ar 127.0.0.1 yn gyrraeddadwy o'r segment o gwbl. Mae ymholiad y datryswr yn cadarnhau pa lwybr y mae'r enw yn ei gymryd cyn bod y twnnel yn bodoli, a dyna lle mae portau caeth yn ymyrryd. Ailadroddwch y rhestr ar ôl cysylltu, oherwydd mae rhai cleientiaid yn codi rhyngwynebau sy'n newid yr ateb.

Mae porth sy'n ymddangos dim ond tra bod y twnnel i fyny yn llai agored, er ei fod yn dal yn werth ei wybod. Cofnodwch y gwahaniaeth yn hytrach na'r rhestr absoliwt, gan mai'r delta yw'r hyn a ychwanegodd y twnnel.

Peidiwch â derbyn hunaniaeth newydd ganol sesiwn

Nid yw newid llwybr annisgwyl, ailgysylltu na ailgyfeirio porth yn ganiatâd i dderbyn hunaniaeth gweinydd wahanol. Os yw'r cleient yn adrodd am gamgymharu tystysgrif neu allwedd, triniwch hynny fel canfyddiad hunaniaeth yn hytrach nag fel cysylltedd i'w osgoi. Mae gosod tystysgrif gwraidd heb esboniad i wneud i borth weithio yn troi problem cyflenwi yn broblem ymddiriedaeth. Yna mae'r broblem ymddiriedaeth yn goroesi'r daith a'i creodd.

Defnyddiwch lif porwr y porth ei hun, yna ailgysylltwch y twnnel a darllenwch log y cleient am yr hunaniaeth a wiriodd. Mae methiant hunaniaeth yn golygu nad yw'r cymar yr un yr oeddech yn ei ddisgwyl, tra bod methiant cyflenwi yn golygu na atebodd y cymar byth. Mae'r cyntaf yn rheswm i stopio, a'r ail yn rheswm i geisio llwybr arall.

Penderfynwch ar ymddygiad y toriad yn gyntaf

Mae dau nodwedd wahanol yn cael eu drysu yma. Mae ailgysylltu yn ceisio adfer gwasanaeth, tra bod polisi blocio yn rheoli pa draffig a ganiateir tra bod y twnnel i lawr. Nid yw'r naill na'r llall yn darparu dolen ddi-wifr weithredol, ac nid yw'r naill na'r llall yn profi bod y pen draw yn lân. Dewiswch yn eglur: methiant caeedig ar gyfer cymwysiadau na ddylent byth ddefnyddio'r llwybr lleol, a chaniatáu pori cyffredin y tu allan i'r twnnel os yw hynny'n dderbyniol.

Ysgrifennwch y dewis, oherwydd nid yw'r rhagosodiad yn y rhan fwyaf o gleientiaid yn y naill na'r llall, ac mae'n amrywio yn ôl fersiwn. Yna trefnwch lwybr mynediad amgen os yw argaeledd yn bwysig, fel hotspot ffôn gyda'i gynllun data ei hun. Mae prawf derbyn derbyniol yn cynnwys tri chanlyniad ar wahân: mae traffig arfaethedig yn defnyddio'r twnnel wedi'i wirio, mae gwrandawyr lleol diberthyn yn anghyrraeddadwy, ac mae toriad yn cynhyrchu'r ymddygiad a ddewiswyd gennych.