Avalik Wi-Fi ja VPN: mida tunnel ei kata

Roheline märk, rahulolev portaal, töötav brauser: see on kogu nähtav lugu. Märk jätab ütlemata, et krüpteeritud ühendust kannab just see traadita link, mille eest see peaks teid kaitsma. See link toimetab endiselt kohale iga paketi, näeb endiselt sihtkoha aadressi ja otsustab endiselt, kas midagi üldse saabub. Hotelliühenduse sülearvuti-poolse külje vaatamine näitab, milliseid osi tunnel katab ja millised jätab teile.

Juurdepääsulink kannab kõike

IPsec ESP tunnel mässib kaitstud sisemise paketi välisesse päisesse, mida võrk suudab marsruutida, ja RFC 4303 jaotis 3.1.2 selgitab seda jaotust. Sisemine pakett on see, mida tunnel kaitseb. Välimist päist loeb hotspot, et seda edasi saata. Teised lahendused kapseldavad teisiti, kuid planeerimisküsimus on sama: milline juurdepääsutee seda ühendust kannab?

Lüüsi rike või link, mis pakette kaotab, peatab kohaletoimetamise ilma sisu paljastamata. Tugevamale šifrile üleminek ei aita selle vastu, sest puuduv osa on transport, mitte krüptograafia. Õnnestunud kohaletoimetamine tõestab teises suunas sama vähe, sest töötav tee ei ütle midagi kummagi masina seisundi kohta.

Teie sülearvutil on endiselt oma uksed

Ebausaldusväärse segmendiga liitumine muudab, kes pääseb portidele, millel teie masin kuulab. Failijagamisteenus, kaughaldusagent või arendusserver, mis on seotud kõigi liidestega, on kõigile selles segmendis kättesaadav, kui miski seda ei peata. Liiklus, mis kunagi tunnelisse ei sisene, ei ole selle poolt kaitstud. Kuulaja, mis vastab enne, kui tunnel üles tõuseb, on avatud täpselt selle akna jaoks.

Nõue on kitsas ja väärib täpset sõnastust: sülearvuti peab jõudma VPN-i lõpp-punkti ja hotspoti mitteseotud seadmed ei tohi jõuda kohalike teenusteni. Hosti tulemüüri reeglid väljendavad seda piiri, ja platvormi enda jagamisnõuded väljendavad samuti osa sellest. Printer või portaali samm on teadlikult lisatav piiratud erand, mitte tõestus, et kogu hotspot väärib kontorivõrgu usaldust.

Mõned organisatsioonid piiravad ka kohalikku juurdepääsu, kui tööühendus on aktiivne, mis on poliitika, mitte inseneritöö. Lugege seda poliitikat enne, kui lülitate tulemüüri välja, et seade töötaks.

Kontrollige, mis tegelikult kuulab

Vaadake pessa, mitte seadete lehte, sest leht kirjeldab kavatsust ja pesatabel kirjeldab masinat. Kaks loendit allpool eraldavad iga kuulava pesa nendest, milleni naaber võiks jõuda. Käivitage need ebausaldusväärses segmendis enne tunneli ühendamist.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Esimene käsk näitab iga pesa ja teine filtreerib need, mis on seotud väljapoole loopbacki. Teenus aadressil 0.0.0.0 või :: on saadaval igal liidesel, sealhulgas traadita, samas kui sama teenus aadressil 127.0.0.1 ei ole segmendist üldse kättesaadav. Resolveri päring kinnitab, millise tee nimi võtab enne tunneli olemasolu, ja just seal sekkuvad captive-portaalid. Korrake loendit pärast ühendamist, sest mõned kliendid tõstavad liideseid, mis vastust muudavad.

Port, mis ilmub ainult siis, kui tunnel on üleval, on vähem avatud, kuigi sellest on endiselt kasulik teada. Märkige üles erinevus, mitte absoluutne loend, sest delta on see, mille tunnel lisas.

Ärge võtke seansi keskel vastu uut identiteeti

Ootamatu marsruudimuudatus, taasühendamine või portaali ümbersuunamine ei ole luba võtta vastu teistsugust serveri identiteeti. Kui klient teatab sertifikaadi või võtme mittevastavusest, käsitlege seda identiteedileidena, mitte ühenduvusena, millest tuleb mööda minna. Selgitamata juursertifikaadi paigaldamine portaali tööle saamiseks muudab tarne probleemi usaldusprobleemiks. Usaldusprobleem elab seejärel kauem kui reis, mis selle tekitas.

Kasutage portaali enda brauserivoogu, seejärel ühendage tunnel uuesti ja lugege kliendilogist, millise identiteedi see kinnitas. Identiteedi tõrge tähendab, et vastaspool ei ole see, keda ootasite, samas kui tarne tõrge tähendab, et vastaspool ei vastanud kunagi. Esimene on põhjus peatuda ja teine põhjus proovida teist teed.

Otsustage esmalt katkestuse käitumine

Siin aetakse segi kaks erinevat funktsiooni. Taasühendamine püüab teenust taastada, samas kui blokeeriv poliitika kontrollib, milline liiklus on lubatud, kui tunnel on maas. Kumbki ei anna töötavat traadita linki ega tõesta, et lõpp-punkt on puhas. Valige selgesõnaliselt: suletud tõrge rakendustele, mis ei tohi kunagi kohalikku teed kasutada, ja lubage tunnelist väljas tavaline sirvimine, kui see on vastuvõetav.

Kirjutage valik üles, sest enamikus klientides ei ole vaikeväärtus kumbki neist ja see varieerub versiooniti. Seejärel korraldage alternatiivne juurdepääsutee, kui kättesaadavus loeb, näiteks telefonihotspot oma andmeplaaniga. Vastuvõetaval vastuvõtutestil on kolm eraldi tulemust: kavandatud liiklus kasutab kinnitatud tunnelit, mitteseotud kohalikud kuulajad on kättesaamatud ja katkestus tekitab teie valitud käitumise.