Δημόσιο Wi-Fi και VPN: τι δεν καλύπτει το τούνελ

Πράσινο σήμα, ικανοποιημένη πύλη, πρόγραμμα περιήγησης που δουλεύει: αυτή είναι η όλη ορατή ιστορία. Αυτό που παραλείπει το σήμα είναι ότι η κρυπτογραφημένη σύνδεση μεταφέρεται από τον ίδιο τον ασύρματο σύνδεσμο από τον οποίο υποτίθεται ότι σας προστατεύει. Ο σύνδεσμος εκείνος εξακολουθεί να παραδίδει κάθε πακέτο, εξακολουθεί να βλέπει τη διεύθυνση προορισμού και εξακολουθεί να αποφασίζει αν θα φτάσει κάτι. Η εξέταση της πλευράς του φορητού σε μια σύνδεση ξενοδοχείου δείχνει ποια μέρη καλύπτει το τούνελ και ποια αφήνει σε εσάς.

Ο σύνδεσμος πρόσβασης μεταφέρει τα πάντα

Ένα τούνελ IPsec ESP τυλίγει ένα προστατευμένο εσωτερικό πακέτο μέσα σε μια εξωτερική κεφαλίδα που το δίκτυο μπορεί να δρομολογήσει, και RFC 4303 ενότητα 3.1.2 παρουσιάζει αυτόν τον διαχωρισμό. Το εσωτερικό πακέτο είναι αυτό που προστατεύει το τούνελ. Η εξωτερική κεφαλίδα είναι αυτό που διαβάζει το hotspot για να το προωθήσει. Άλλα σχέδια ενθυλακώνουν διαφορετικά, όμως το ερώτημα σχεδιασμού είναι το ίδιο: ποια διαδρομή πρόσβασης μεταφέρει αυτή τη σύνδεση;

Αποτυχία πύλης ή σύνδεσμος που ρίχνει πακέτα σταματά την παράδοση χωρίς να αποκαλύπτει περιεχόμενο. Η αλλαγή σε ισχυρότερο κρυπτογράφημα δεν βοηθά σε αυτό, γιατί το κομμάτι που λείπει είναι η μεταφορά και όχι η κρυπτογραφία. Η επιτυχής παράδοση αποδεικνύει εξίσου λίγα προς την άλλη κατεύθυνση, αφού μια διαδρομή που δουλεύει δεν λέει τίποτα για την κατάσταση κανενός από τα δύο μηχανήματα.

Ο φορητός σας έχει ακόμη τις δικές του πόρτες

Η σύνδεση σε μη αξιόπιστο τμήμα αλλάζει ποιος μπορεί να φτάσει τις θύρες στις οποίες ακούει το μηχάνημά σας. Μια υπηρεσία κοινής χρήσης αρχείων, ένας πράκτορας απομακρυσμένης διαχείρισης ή ένας διακομιστής ανάπτυξης δεσμευμένος σε όλες τις διεπαφές είναι προσβάσιμος από οποιονδήποτε σε εκείνο το τμήμα, εκτός αν κάτι τον σταματήσει. Η κίνηση που δεν μπαίνει ποτέ στο τούνελ δεν προστατεύεται από αυτό. Ένας ακροατής που απαντά πριν σηκωθεί το τούνελ είναι εκτεθειμένος ακριβώς για εκείνο το παράθυρο.

Η απαίτηση είναι στενή και αξίζει να διατυπωθεί ακριβώς: ο φορητός πρέπει να φτάνει το τελικό σημείο VPN, και οι άσχετες συσκευές στο hotspot δεν πρέπει να φτάνουν τοπικές υπηρεσίες. Οι κανόνες τείχους προστασίας του κεντρικού υπολογιστή εκφράζουν αυτό το όριο, και οι ίδιες οι ρυθμίσεις κοινής χρήσης της πλατφόρμας εκφράζουν μέρος του. Ένας εκτυπωτής ή ένα βήμα πύλης είναι περιορισμένη εξαίρεση που προσθέτετε σκόπιμα, όχι απόδειξη ότι ολόκληρο το hotspot αξίζει την εμπιστοσύνη τοπικού δικτύου γραφείου.

Ορισμένοι οργανισμοί περιορίζουν επίσης την τοπική πρόσβαση όσο είναι ενεργή μια σύνδεση εργασίας, που είναι πολιτική και όχι μηχανική. Διαβάστε αυτή την πολιτική πριν απενεργοποιήσετε τείχος προστασίας για να δουλέψει ένα περιφερειακό.

Ελέγξτε τι ακούει πραγματικά

Κοιτάξτε τις υποδοχές και όχι τη σελίδα ρυθμίσεων, γιατί η σελίδα περιγράφει την πρόθεση και ο πίνακας υποδοχών περιγράφει το μηχάνημα. Οι δύο λίστες παρακάτω χωρίζουν κάθε υποδοχή που ακούει από εκείνες που θα μπορούσε να φτάσει ένας γείτονας. Εκτελέστε τις στο μη αξιόπιστο τμήμα πριν συνδέσετε το τούνελ.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Η πρώτη εντολή δείχνει κάθε υποδοχή, και η δεύτερη φιλτράρει σε εκείνες που είναι δεσμευμένες πέρα από το loopback. Μια υπηρεσία στο 0.0.0.0 ή στο :: είναι διαθέσιμη σε κάθε διεπαφή, συμπεριλαμβανομένης της ασύρματης, ενώ η ίδια υπηρεσία στο 127.0.0.1 δεν είναι καθόλου προσβάσιμη από το τμήμα. Το ερώτημα του resolver επιβεβαιώνει ποια διαδρομή παίρνει το όνομα πριν υπάρξει το τούνελ, και εκεί παρεμβαίνουν οι αιχμαλωτισμένες πύλες. Επαναλάβετε τη λίστα μετά τη σύνδεση, γιατί μερικοί πελάτες σηκώνουν διεπαφές που αλλάζουν την απάντηση.

Μια θύρα που εμφανίζεται μόνο όσο το τούνελ είναι πάνω είναι λιγότερο εκτεθειμένη, αν και αξίζει ακόμη να την γνωρίζετε. Καταγράψτε τη διαφορά και όχι την απόλυτη λίστα, αφού το δέλτα είναι αυτό που πρόσθεσε το τούνελ.

Μην αποδεχτείτε νέα ταυτότητα στη μέση της συνεδρίας

Μια απρόσμενη αλλαγή διαδρομής, μια επανασύνδεση ή μια ανακατεύθυνση πύλης δεν είναι άδεια να αποδεχτείτε διαφορετική ταυτότητα διακομιστή. Αν ο πελάτης αναφέρει αναντιστοιχία πιστοποιητικού ή κλειδιού, αντιμετωπίστε το ως εύρημα ταυτότητας και όχι ως συνδεσιμότητα που πρέπει να παρακαμφθεί. Η εγκατάσταση ενός ανεξήγητου ριζικού πιστοποιητικού για να δουλέψει μια πύλη μετατρέπει ένα πρόβλημα παράδοσης σε πρόβλημα εμπιστοσύνης. Το πρόβλημα εμπιστοσύνης επιβιώνει μετά από το ταξίδι που το δημιούργησε.

Χρησιμοποιήστε τη ροή του προγράμματος περιήγησης της ίδιας της πύλης, μετά επανασυνδέστε το τούνελ και διαβάστε το αρχείο καταγραφής του πελάτη για την ταυτότητα που επαλήθευσε. Αποτυχία ταυτότητας σημαίνει ότι ο ομότιμος δεν είναι αυτός που περιμένατε, ενώ αποτυχία παράδοσης σημαίνει ότι ο ομότιμος δεν απάντησε ποτέ. Η πρώτη είναι λόγος να σταματήσετε, και η δεύτερη λόγος να δοκιμάσετε άλλη διαδρομή.

Αποφασίστε πρώτα τη συμπεριφορά διακοπής

Δύο διαφορετικά χαρακτηριστικά μπερδεύονται εδώ. Η επανασύνδεση προσπαθεί να αποκαταστήσει την υπηρεσία, ενώ μια πολιτική αποκλεισμού ελέγχει ποια κίνηση επιτρέπεται όσο το τούνελ είναι κάτω. Κανένα δεν παρέχει λειτουργικό ασύρματο σύνδεσμο, και κανένα δεν αποδεικνύει ότι το τελικό σημείο είναι καθαρό. Επιλέξτε ρητά: κλειστή αποτυχία για εφαρμογές που δεν πρέπει ποτέ να χρησιμοποιήσουν την τοπική διαδρομή, και επιτρέψτε τη συνήθη περιήγηση εκτός τούνελ αν αυτό είναι αποδεκτό.

Γράψτε την επιλογή, γιατί η προεπιλογή στους περισσότερους πελάτες δεν είναι καμία από τις δύο, και διαφέρει ανά έκδοση. Έπειτα οργανώστε εναλλακτική διαδρομή πρόσβασης αν η διαθεσιμότητα μετράει, όπως hotspot τηλεφώνου με δικό του πρόγραμμα δεδομένων. Μια αποδεκτή δοκιμή αποδοχής έχει τρία ξεχωριστά αποτελέσματα: η προβλεπόμενη κίνηση χρησιμοποιεί το επαληθευμένο τούνελ, οι άσχετοι τοπικοί ακροατές είναι μη προσβάσιμοι, και μια διακοπή παράγει τη συμπεριφορά που επιλέξατε.