Κοινόχρηστος λογαριασμός VPN: ένα όριο συσκευών δεν είναι απομόνωση πελατών

Οκτώ ταυτόχρονες συνδέσεις είναι ένας αριθμός από σελίδα άδειας χρήσης και δεν λέει τίποτα για το τι μπορούν να κάνουν αυτές οι οκτώ συσκευές η μία στην άλλη. Μια κοινή σύνδεση μπορεί να συνυπάρχει με κλειδιά ανά συνεδρία και μπορεί επίσης να συνυπάρχει με μια πύλη που προωθεί ευχαρίστως την κίνηση του ενός πελάτη στον άλλο. Το λάθος είναι να θεωρούμε τον λογαριασμό όριο ασφαλείας. Κάντε αντίθετα τέσσερις ξεχωριστές ερωτήσεις: τι αγοράστηκε, τι προστατεύει τη σήραγγα, τι επιτρέπεται να περνά μεταξύ ομοτίμων και τι μπορεί να ρίξει τον τοπικό σύνδεσμο.

Τι υπόσχεται στην πραγματικότητα μια άδεια συνδέσεων

Ένα όριο συσκευών μετρά πόσες συνεδρίες θα δεχτεί ο πάροχος για μία συνδρομή. Είναι εμπορικός και επιχειρησιακός έλεγχος, όχι δήλωση για ταυτότητα ή απομόνωση. Ορισμένοι πάροχοι εκδίδουν ξεχωριστό πιστοποιητικό ανά συσκευή κάτω από έναν λογαριασμό, ενώ άλλοι επαναχρησιμοποιούν ένα διαπιστευτήριο για κάθε σύνδεση. Η διαφορά φαίνεται στην ανάκληση, γιατί τα ξεχωριστά διαπιστευτήρια σας αφήνουν να κόψετε μία συσκευή, ενώ ένα κοινό δεν σας αφήνει τέτοια επιλογή.

Διαβάστε πώς ο πάροχος εκδίδει διαπιστευτήρια πριν υποθέσετε οτιδήποτε για τον διαχωρισμό κλειδιών. Το ίδιο το όνομα του λογαριασμού δεν αποκαλύπτει τίποτα από αυτά.

Ελέγξτε αν η πύλη προωθεί μεταξύ πελατών

Η προσβασιμότητα μεταξύ ομοτίμων είναι απόφαση στην πλευρά του διακομιστή. Στο OpenVPN ο σχετικός διακόπτης απουσιάζει εκτός αν εμφανίζεται στη διαμόρφωση, αλλά η σύγχρονη εκφόρτωση του επιπέδου δεδομένων αλλάζει πού εφαρμόζεται ο κανόνας.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Μια διαμόρφωση χωρίς αυτή την οδηγία αφήνει την κίνηση μεταξύ ομοτίμων στο τείχος προστασίας του κεντρικού υπολογιστή, το οποίο μπορεί ακόμη να την επιτρέπει. Όταν η εκφόρτωση είναι ενεργή, ο πυρήνας χειρίζεται τη διεπαφή της σήραγγας αντί για τη διεργασία χώρου χρήστη, οπότε επαληθεύστε μετρητές κανόνων αντί να εμπιστεύεστε το αρχείο. Ο αποκλεισμός της προωθούμενης κίνησης μεταξύ διευθύνσεων σήραγγας απομονώνει τους πελάτες χωρίς να αγγίζει την πρόσβασή τους στην πύλη. Επιβεβαιώστε το με δοκιμή από έναν πελάτη σε υπηρεσία σε άλλον, και πριν και μετά τον κανόνα.

Προστατέψτε τη συνεδρία πριν από τους ομοτίμους

Η προστασία της σήραγγας και η πρόσβαση μεταξύ ομοτίμων είναι διαφορετικές ιδιότητες και ένα ισχυρό κρυπτογράφημα δεν σημαίνει απομόνωση. Στη λειτουργία TLS κάθε πελάτης παράγει τα δικά του κλειδιά συνεδρίας, οπότε ένας πελάτης δεν μπορεί να διαβάσει την κίνηση άλλου ακόμη και όταν η πύλη τη μεταφέρει. Ένα παλιό σχήμα στατικού κλειδιού μοιράζει ένα κλειδί σε όλους, γι' αυτό η επαναχρησιμοποίηση σύνδεσης εκεί έχει πολύ χειρότερες συνέπειες. Εξετάστε τη διαμορφωμένη λειτουργία αντί για τη σελίδα μάρκετινγκ και μετά κρίνετε αν ο κοινός λογαριασμός ταιριάζει στα δεδομένα που εμπλέκονται.

Ο έλεγχος ταυτότητας υπηρεσίας σε κάθε κεντρικό υπολογιστή παραμένει σημαντικός, γιατί η σήραγγα αποδεικνύει μόνο ότι ένας πελάτης έφτασε στο δίκτυο, όχι ότι πρέπει να φτάσει σε συγκεκριμένο δαίμονα.

Οι τοπικές αστοχίες Wi-Fi δεν είναι παραβίαση VPN

Μια σύνδεση που έπεσε αποδεικνύει ότι απέτυχε ο τοπικός σύνδεσμος, όχι ότι κάποιος έσπασε τη σήραγγα. Παρεμβολές, μια χαμένη μίσθωση DHCP και μια μεταβίβαση περιαγωγής τερματίζουν μια συνεδρία χωρίς να αγγίξουν διαπιστευτήρια ή κρυπτοκείμενο. Αντιμετωπίστε την αποσύνδεση ως εύρημα διαθεσιμότητας και κρατήστε την χωριστά από ευρήματα εμπιστευτικότητας και πρόσβασης ομοτίμων. Όπου το τοπικό δίκτυο δεν είναι αξιόπιστο, προστατέψτε την κίνηση από άκρη σε άκρη αντί να βασίζεστε μόνο στη σήραγγα.

Γράψτε τις τέσσερις απαντήσεις: όριο, μοντέλο κλειδιών, πολιτική ομοτίμων και εξάρτηση από τον τοπικό σύνδεσμο. Αυτό το αρχείο μετατρέπει μια αόριστη ανησυχία για κοινό λογαριασμό σε συγκεκριμένους ελέγχους.