Pam mae VPN TAP a rennir yn dal i fod angen HTTPS ar y porth

Mae dau ddyfais yn dal cymwysterau VPN dilys ac yn rhannu un segment Ethernet wedi'i bontio. Dim ond un ohonynt sydd i fod i ateb dros borth y swyddfa, ac mae'r llall yn dal i allu hawlio cyfeiriad y porth ar y segment hwnnw. Gwnaeth y twnnel ei waith: dilysodd y ddau gymar ac amgryptio pob llwybr i'r gweinydd. Yr hyn na wnaeth oedd ardystio pa un ohonynt sy'n berchen ar enw gwasanaeth, a dyna'r bwlch sy'n golygu bod y porth yn dal i fod angen tystysgrif ddilys.

Beth mae'r VPN yn ei ddilysu mewn gwirionedd

Mae ysgydwad llaw VPN yn ateb un cwestiwn: pa gymar a gwblhaodd y twnnel hwn, a chyda pha ddeunydd allwedd. Mae'r ateb hwnnw fesul cymar a fesul cysylltiad, ac nid yw'n dweud dim am y gwasanaethau y mae'r cymar hwnnw'n eu harddangos wedyn. Ar segment TAP nid yw'r cymar hyd yn oed yn un cyfeiriad, oherwydd gall gyflwyno unrhyw MAC ac unrhyw IP y mae'r bont yn barod i'w ddysgu. Mae dilysu'n stopio ar ben y twnnel, nid yn y cymhwysiad.

Gwahanwch y tri chwestiwn yn lle eu cwympo'n un. Mae gan bob un ei fecanwaith a'i ffordd ei hun o fethu.

Gall defnyddiad fod â thwnnel wedi'i ddilysu'n berffaith a gwasanaeth hollol annilys y tu ôl iddo. Gall hefyd fod â thystysgrif ddilys ar westeiwr y mae cymar arall yn hawlio ei gyfeiriad ail haen, a dyna pam mae'r ddau reolaeth yn perthyn i'r dyluniad yn hytrach na'r naill yn disodli'r llall. Y tabl yw'r ddadl gyfan mewn tair rhes.

Nid yw ARP ar segment a rennir yn gyfeiriadur

Mae ARP yn cysylltu cyfeiriad IPv4 â MAC ar y ddolen leol ac yn derbyn atebion gan unrhyw un ar y ddolen honno. Ar segment wedi'i bontio'n ganiatäol gall cymar hawlio cyfeiriad sy'n perthyn i ddyfais arall, ac mae'r bont yn anfon fframiau at y sawl a atebodd ddiwethaf. Nid yw amgryptio pob llwybr cleient i'r gweinydd yn newid hynny, oherwydd mae fframiau'n cael eu dadgryptio cyn iddynt gyrraedd y bont. Ffin ymddiriedaeth ARP yw'r segment, nid y twnnel.

Edrychwch beth mae'r gwesteiwr wedi'i ddysgu mewn gwirionedd: mae ip neigh show yn rhestru'r mapiau presennol a'u cyflwr, ac mae cofnod sy'n newid rhwng dau gyfeiriad MAC yn ystod gweithrediad arferol yn symptom sy'n werth ei ymchwilio yn lle ei ddiystyru. Ar segment bach iach mae'r cofnodion hynny'n aros yn sefydlog am gyfnodau hir.

Mae ynysu cymar a pholisi'r bont yn bodoli'n union ar gyfer yr achos hwn. Mae dyluniad a lwybrwyd fel arfer yn ateb gwell pan fo'r gwasanaeth yn IP yn unig a'r dyfeisiau heb unrhyw reswm i weld fframiau ei gilydd o gwbl.

Cadwch ddilysu tystysgrif lle mae'r gwasanaeth

Mae TLS y cymhwysiad yn ateb y cwestiwn na all y twnnel ei ateb: ai hwn yw'r gwasanaeth y bwriadwn â'i gyrraedd. Mae'r porwr yn gwirio enw'r gwesteiwr yn erbyn y dystysgrif, a'r gwiriad hwnnw yw'r unig ran o'r gadwyn sy'n enwi'r porth yn hytrach na'r cymar.

Archwiliwch beth mae'r gweinydd yn ei gyflwyno cyn penderfynu bod y rhybudd yn addurniadol. Mae openssl s_client -connect portal.example.internal:443 -servername portal.example.internal yn argraffu'r gadwyn a'r enwau amgen pwnc. Os nad yw'r enw a deipiwyd gennych yn y rhestr honno, mae'r rhybudd yn gywir a'r dystysgrif sydd angen ei thrwsio. Mae dysgu defnyddwyr i glirio'r rhybudd yn troi rheolaeth weithiol yn addurn.

Mae canllaw pontio OpenVPN yn disgrifio'r model Ethernet a'r opsiynau polisi o'i gwmpas, a dyma'r ffynhonnell gywir ar gyfer yr hyn y dylai'r segment ei ganiatáu. Darllenwch ef cyn llacio rheol bont, oherwydd y model a ddisgrifir ynddo yw'r hyn y mae pob gwiriad uchod yn ei dybio.

Penderfynwch a ddylai'r cymariaid hyn rannu segment o gwbl

Y trwsgl rhataf fel arfer yw rhoi'r gorau i rannu'r ail haen pan mai dim ond cyrhaeddiad IP sydd ei angen. Mae VPN a lwybrwyd yn rhoi ei gyfeiriad ei hun i bob cleient, yn dileu'r parth darlledu a rennir, ac yn troi traffig cymar-i-gymar yn benderfyniad polisi yn lle rhagosodiad. Yna mae gan y porth un cyfeiriad i'w amddiffyn a dim cymdogion a all ei hawlio.

Os oes rhaid i'r segment aros, gwiriwch y gosodiad ar ochr y gweinydd sy'n gadael i gleientiaid gyrraedd ei gilydd: grep -n client-to-client /etc/openvpn/server.conf. Gyda hwnnw wedi'i analluogi, mae traffig cleientiaid yn mynd trwy'r gweinydd a gellir ei hidlo yno. Gyda hwnnw wedi'i alluogi, mae cymariaid yn cyfnewid fframiau'n uniongyrchol trwy'r bont a'ch pwyntiau hidlo yw'r bont a wal dân y gwesteiwr.

Nodwch ar ba amddiffyniadau y mae pob gwesteiwr yn dibynnu mewn gwirionedd: dilysu twnnel, ynysu segment, neu TLS y cymhwysiad. Mae gwesteiwr sy'n dibynnu ar y tri yn iawn. Gwesteiwr sy'n dibynnu ar yr un cyntaf ac yn tybio bod y ddau arall wedi dod gydag ef yw'r un sy'n gorffen gwasanaethu'r cynnwys anghywir.