Γιατί ένα κοινόχρηστο TAP VPN χρειάζεται ακόμη HTTPS στην πύλη

Δύο συσκευές έχουν έγκυρα διαπιστευτήρια VPN και μοιράζονται ένα γεφυρωμένο τμήμα Ethernet. Μόνο μία από αυτές υποτίθεται ότι απαντά για την πύλη του γραφείου, και η άλλη μπορεί ακόμη να διεκδικήσει τη διεύθυνση της πύλης σε αυτό το τμήμα. Η σήραγγα έκανε τη δουλειά της: επαλήθευσε και τους δύο ομοτίμους και κρυπτογράφησε κάθε διαδρομή προς τον διακομιστή. Αυτό που δεν έκανε ήταν να πιστοποιήσει ποια από τις δύο κατέχει ένα όνομα υπηρεσίας, και αυτό το κενό είναι ο λόγος που η πύλη χρειάζεται ακόμη έγκυρο πιστοποιητικό.

Τι επαληθεύει στην πραγματικότητα το VPN

Η χειραψία VPN απαντά σε μία ερώτηση: ποιος ομότιμος ολοκλήρωσε αυτή τη σήραγγα και με ποιο υλικό κλειδιού. Αυτή η απάντηση είναι ανά ομότιμο και ανά σύνδεση και δεν λέει τίποτα για τις υπηρεσίες που εκθέτει ο ομότιμος στη συνέχεια. Σε τμήμα TAP ο ομότιμος δεν είναι καν μία διεύθυνση, επειδή μπορεί να παρουσιάσει οποιαδήποτε MAC και οποιαδήποτε IP είναι πρόθυμη να μάθει η γέφυρα. Η επαλήθευση σταματά στο άκρο της σήραγγας, όχι στην εφαρμογή.

Διαχωρίστε τις τρεις ερωτήσεις αντί να τις συμπτύξετε σε μία. Κάθε μία έχει τον δικό της μηχανισμό και τον δικό της τρόπο αποτυχίας.

Μια ανάπτυξη μπορεί να έχει τέλεια επαληθευμένη σήραγγα και εντελώς μη επαληθευμένη υπηρεσία πίσω της. Μπορεί επίσης να έχει επικυρωμένο πιστοποιητικό σε κεντρικό υπολογιστή του οποίου τη διεύθυνση δεύτερου επιπέδου διεκδικεί άλλος ομότιμος, και γι αυτό και οι δύο έλεγχοι ανήκουν στον σχεδιασμό αντί να αντικαθιστά ο ένας τον άλλον. Ο πίνακας είναι όλο το επιχείρημα σε τρεις γραμμές.

Το ARP σε κοινόχρηστο τμήμα δεν είναι κατάλογος

Το ARP αντιστοιχίζει μια διεύθυνση IPv4 σε μια MAC στον τοπικό σύνδεσμο και δέχεται απαντήσεις από οποιονδήποτε σε αυτόν τον σύνδεσμο. Σε ένα ανεκτικό γεφυρωμένο τμήμα ένας ομότιμος μπορεί να διεκδικήσει διεύθυνση που ανήκει σε άλλη συσκευή, και η γέφυρα προωθεί τα πλαίσια σε όποιον απάντησε τελευταίος. Η κρυπτογράφηση κάθε διαδρομής πελάτη προς τον διακομιστή δεν το αλλάζει, γιατί τα πλαίσια αποκρυπτογραφούνται πριν φτάσουν στη γέφυρα. Το όριο εμπιστοσύνης του ARP είναι το τμήμα, όχι η σήραγγα.

Κοιτάξτε τι έμαθε πραγματικά ο κεντρικός υπολογιστής: το ip neigh show εμφανίζει τις τρέχουσες αντιστοιχίσεις και την κατάστασή τους, και μια εγγραφή που εναλλάσσεται μεταξύ δύο διευθύνσεων MAC κατά την κανονική λειτουργία είναι σύμπτωμα που αξίζει έρευνα αντί να απορρίπτεται. Σε ένα υγιές μικρό τμήμα αυτές οι εγγραφές μένουν σταθερές για μεγάλα διαστήματα.

Η απομόνωση ομοτίμων και η πολιτική της γέφυρας υπάρχουν ακριβώς για αυτή την περίπτωση. Ένας δρομολογημένος σχεδιασμός είναι συνήθως η καλύτερη απάντηση όταν η υπηρεσία είναι μόνο IP και οι συσκευές δεν έχουν κανένα λόγο να βλέπουν τα πλαίσια η μία της άλλης.

Κρατήστε την επικύρωση πιστοποιητικού εκεί που είναι η υπηρεσία

Το TLS της εφαρμογής απαντά στην ερώτηση που δεν μπορεί η σήραγγα: είναι αυτή η υπηρεσία που ήθελα να φτάσω. Το πρόγραμμα περιήγησης ελέγχει το όνομα κεντρικού υπολογιστή έναντι του πιστοποιητικού, και αυτός ο έλεγχος είναι το μόνο μέρος της αλυσίδας που ονομάζει την πύλη και όχι τον ομότιμο.

Εξετάστε τι παρουσιάζει ο διακομιστής πριν κρίνετε ότι η προειδοποίηση είναι καλλωπιστική. Το openssl s_client -connect portal.example.internal:443 -servername portal.example.internal εκτυπώνει την αλυσίδα και τα εναλλακτικά ονόματα θέματος. Αν το όνομα που πληκτρολογήσατε λείπει από αυτή τη λίστα, η προειδοποίηση είναι σωστή και το πιστοποιητικό είναι αυτό που χρειάζεται διόρθωση. Το να μαθαίνουμε στους χρήστες να την προσπερνούν μετατρέπει έναν λειτουργικό έλεγχο σε διακόσμηση.

Ο οδηγός γεφύρωσης του OpenVPN περιγράφει το μοντέλο Ethernet και τις επιλογές πολιτικής γύρω από αυτό, και είναι η σωστή αναφορά για το τι πρέπει να επιτρέπει το τμήμα. Διαβάστε τον πριν χαλαρώσετε έναν κανόνα γέφυρας, γιατί το μοντέλο που περιγράφει είναι αυτό που υποθέτει κάθε έλεγχος παραπάνω.

Αποφασίστε αν αυτοί οι ομότιμοι πρέπει να μοιράζονται καθόλου τμήμα

Η φθηνότερη διόρθωση είναι συνήθως να σταματήσετε να μοιράζεστε το δεύτερο επίπεδο όταν η απαίτηση είναι μόνο προσβασιμότητα IP. Ένα δρομολογημένο VPN δίνει σε κάθε πελάτη τη δική του διεύθυνση, αφαιρεί το κοινό πεδίο εκπομπής και μετατρέπει την κίνηση μεταξύ ομοτίμων σε απόφαση πολιτικής αντί για προεπιλογή. Τότε η πύλη έχει μία διεύθυνση να προστατεύσει και κανέναν γείτονα που μπορεί να τη διεκδικήσει.

Αν το τμήμα πρέπει να μείνει, ελέγξτε τη ρύθμιση στην πλευρά του διακομιστή που επιτρέπει στους πελάτες να φτάνουν ο ένας τον άλλον: grep -n client-to-client /etc/openvpn/server.conf. Με αυτή απενεργοποιημένη, η κίνηση των πελατών περνά από τον διακομιστή και μπορεί να φιλτραριστεί εκεί. Με αυτή ενεργοποιημένη, οι ομότιμοι ανταλλάσσουν πλαίσια απευθείας μέσω της γέφυρας και τα σημεία φιλτραρίσματός σας είναι η γέφυρα και το τείχος προστασίας του κεντρικού υπολογιστή.

Γράψτε σε ποιες προστασίες βασίζεται πραγματικά κάθε κεντρικός υπολογιστής: επαλήθευση σήραγγας, απομόνωση τμήματος ή TLS εφαρμογής. Ένας κεντρικός υπολογιστής που βασίζεται και στα τρία είναι εντάξει. Ένας που βασίζεται στο πρώτο και υποθέτει ότι τα άλλα δύο ήρθαν μαζί του είναι αυτός που τελικά σερβίρει το λάθος περιεχόμενο.