Cyfrif VPN a rennir: nid yw terfyn dyfeisiau yn ynysu cleientiaid

Mae wyth cysylltiad ar y tro yn rhif o dudalen drwydded, ac nid yw’n dweud dim am yr hyn y gall yr wyth dyfais hynny ei wneud i’w gilydd. Gall mewngofnodi a rennir gydfodoli ag allweddi fesul sesiwn, a gall hefyd gydfodoli â phorth sy’n anfon traffig un cleient i un arall yn ddi-hid. Y camgymeriad yw trin y cyfrif fel ffin ddiogelwch. Gofynnwch bedwar cwestiwn ar wahân yn lle hynny: beth a brynwyd, beth sy’n amddiffyn y twnnel, beth a gaiff groesi rhwng cymheiriaid, a beth a all ddymchwel y cyswllt lleol.

Beth mae caniatâd cysylltiadau yn ei addo mewn gwirionedd

Mae terfyn dyfeisiau yn cyfrif sawl sesiwn y bydd y darparwr yn ei dderbyn ar gyfer un tanysgrifiad. Rheolaeth fasnachol a gweithredol yw hi, nid datganiad am hunaniaeth nac ynysu. Mae rhai darparwyr yn dyroddi tystysgrif ar wahân i bob dyfais o dan un cyfrif; mae eraill yn ailddefnyddio un ddogfen gymwys ar gyfer pob cysylltiad. Mae’r gwahaniaeth yn amlwg adeg dirymu, oherwydd mae dogfennau cymwys ar wahân yn caniatáu ichi dorri un ddyfais, tra nad yw un a rennir yn gadael y dewis hwnnw ichi.

Darllenwch sut mae’r darparwr yn dyroddi dogfennau cymwys cyn tybio unrhyw beth am wahanu allweddi. Nid yw enw’r cyfrif ei hun yn datgelu dim o hyn.

Gwiriwch a yw’r porth yn anfon rhwng cleientiaid

Penderfyniad ar ochr y gweinydd yw cyrhaeddedd rhwng cymheiriaid. Ar OpenVPN mae’r switsh perthnasol yn absennol oni bai ei fod yn ymddangos yn y ffurfweddiad, ond mae dadlwytho plân data modern yn newid lle mae’r rheol yn cael ei gorfodi.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Mae ffurfweddiad heb y gorchymyn hwnnw yn gadael traffig rhwng cymheiriaid i wal dân y gwesteiwr, a allai ei ganiatáu o hyd. Pan fo dadlwytho’n weithredol, y cnewyllyn sy’n trin rhyngwyneb y twnnel yn hytrach na’r broses gofod defnyddiwr, felly gwiriwch gyfrifwyr y rheolau yn lle ymddiried yn y ffeil. Mae blocio traffig a anfonir rhwng cyfeiriadau’r twnnel yn ynysu cleientiaid heb gyffwrdd â’u mynediad at y porth. Cadarnhewch hynny gyda phrawf o un cleient i wasanaeth ar un arall, cyn ac ar ôl y rheol.

Amddiffynwch y sesiwn o flaen y cymheiriaid

Mae amddiffyn twnnel a mynediad cymheiriaid yn briodweddau gwahanol, ac nid yw seiffr gref yn awgrymu ynysu. Yn y modd TLS mae pob cleient yn deillio ei allweddi sesiwn ei hun, felly ni all un cleient ddarllen traffig un arall hyd yn oed pan fo’r porth yn ei anfon. Mae’r hen drefniant allwedd statig yn rhannu un allwedd ymhlith pawb, a dyna pam mae ailddefnyddio mewngofnodi yno yn llawer gwaeth. Archwiliwch y modd a ffurfweddwyd yn hytrach na’r dudalen farchnata, yna barnwch a yw rhannu cyfrif yn addas i’r data dan sylw.

Mae dilysu gwasanaeth ar bob gwesteiwr yn dal i fod yn bwysig, oherwydd dim ond profi bod cleient wedi cyrraedd y rhwydwaith y mae’r twnnel, nid bod ganddo hawl i gyrraedd daemon penodol.

Nid yw methiannau Wi-Fi lleol yn gyfaddawd VPN

Mae cysylltiad sydd wedi torri yn profi bod y cyswllt lleol wedi methu, nid bod rhywun wedi torri’r twnnel. Mae ymyrraeth, prydles DHCP a gollwyd a throsglwyddiad crwydro i gyd yn diweddu sesiwn heb gyffwrdd â dogfennau cymwys na chryptodestun. Triniwch ddatgysylltiad fel canfyddiad argaeledd a’i gadw ar wahân i ganfyddiadau cyfrinachedd a mynediad cymheiriaid. Lle nad yw’r rhwydwaith lleol yn ddibynadwy, amddiffynnwch y traffig o un pen i’r llall yn hytrach na dibynnu ar y twnnel yn unig.

Ysgrifennwch y pedwar ateb i lawr: caniatâd, model allweddi, polisi cymheiriaid a dibyniaeth ar y cyswllt lleol. Mae’r cofnod hwnnw’n troi pryder niwlog am gyfrif a rennir yn rheolaethau penodol.