VPN saio-hasiera bakarra ordenagailu partekatuan: nork jasotzen du bidea?
VPN saio-hasierak pertsona bat autentifikatzen du; instalatzen duen bideak beste esparru bat adierazten du. Konparatu ostalari osoko, erabiltzaileko eta aplikazioko tunelak makina partekatuan.
Lan-estazioa partekatzeak erabiltzaile bakarreko eramangarriak inoiz erantzun behar ez duen galdera sortzen du: pertsona batek tunela autentifikatu ondoren, nork erabil dezake? Saio-hasierak subjektu bat identifikatzen du, eta instalatzen duen bideak esparru bat deskribatzen du, eta bi gauza horiek ez dira objektu bera. Bien artean sistema eragilea, bezeroaren konfigurazioa eta zerbitzu pribatuak bere kabuz eskatzen duena daude. Betearazpen-puntuak alderatzea da galdera asmatu gabe erantzuteko modu bakarra.
Saio-hasiera bat, hainbat esparru
Autentifikazioak nork sarbidea lortu duen erantzuten du. Bideak zein paketek tunelaren bidez irten dezaketen erantzuten du. Baimenak zerbitzu batek zein konexio onartuko duen erantzuten du, eta hiruetako inork ez du hurrengoa inplikatzen.
Ostalari osoko tunela da ohiko lehenetsia, eta hutsunea agerikoa egiten du. Bidea nukleoaren taulan dago, beraz taula hori erabiltzen duen edozein prozesuk sare pribatura heldu dezake, VPN elkarrizketa inoiz ikusi ez zuen erabiltzaile batek abiatutako bat barne. Ez da tunelaren akatsa; sistema osoko bide batek hori esan nahi du. Zerbitzu pribatuak konexioa bazter dezake oraindik, eta horregatik irisgarritasunak eta baimenak erantzun bereiziak behar dituzte.
Lau galderak probatu aurretik idazteak berrikuspena haietako batera erortzea eragozten du.
Muga non dagoen benetan
Lau antolamenduk estaltzen dituzte makina gehienak: ostalari osoko tunela, erabiltzaileko konexioa, aplikazioko baimen-zerrenda eta sare izen-espazio edo makina birtual bereizia.
Bakoitzak betearazpen-puntua beste leku batean jartzen du, eta aldeak etiketak baino garrantzitsuagoak dira. Erabiltzaileko konexioa profileko baimenek betearazten dute, ez mahaigaineko saio-hasierako pantailak. Aplikazioko baimen-zerrenda bezeroaren barruan betearazten da, eta hark erabakitzen du zer eramango duen. Izen-espazioak edo VMak interfazearen mugan betearazten du, beraz barruko prozesu batek ezin du ostalariaren bidea inola ere ikusi. Makinako saio-hasierako pantaila kopuruak ez du haietako ezer esaten.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Taula errenkadaz errenkada irakurtzeak erakusten du benetako galdera ez dela isolamendua badagoen, baizik eta non ezartzen den.
Konparatu lau betearazpen-puntu
Linuxen bide-taula da lehen aztertu beharrekoa, ostalari osoko tunela han agertzen delako eta izen-espazioa ez. Bilaketa bigarren erabiltzaile gisa exekutatzea jendeak saltzen duen urratsa da; erantzuna bere buru gisa lortu zutenaren desberdina da, eta horrek azaltzen du txostena.
Hurrengo bi egiaztapenek politikari begiratzen diote, ez bideratzei. UID batekin bat datorren suebakiko araua tokian sortutako trafikoari aplikatzen zaio, beraz bi erabiltzaile bereizi ditzake ostalari batean, biek bidea partekatzen dutenean ere. Baimen-zerrenda esplizitua duen konexio-profilet bat sare-kudeatzaileak betearazten du aktibatzean. Egiaztapenetako inork ez du tunela aldatzea eskatzen, eta horregatik merezi du ezer berridazten hasi aurretik egitea.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidBigarren bilaketak tunelaren bidea erakusten badu, muga ez dago diseinuak uste zuen tokian.
Saio aldi bereko arauak kontrol bereizia dira
Atebak askotan mugatzen dute kontu batek zenbat saio eduki ditzakeen, eta muga horrek ez du ezer ikustekorik tokiko erabiltzaileekin. Kontua mugatzen du, beraz kredentzial berarekin sartzen den bigarren pertsona batek lehenaren tunela amaitu dezake.
Irakurri hutsegitea isolamendu arazo lokal bat suposatu aurretik. Saio-mugak atean deskonexioa sortzen du, esparru arazoak berriz funtzionatzen duen tunela sortzen du, beste erabiltzailearen trafikoa besterik gabe eramaten ez duena. Bi sintoma horiek erabat desberdinak diren konponketetara daramatzate. Gorde bezeroaren mezu zehatza, normalean araua izendatzen baitu. Eskatu profilaren jabearen txostena onartutako lan-fluxua muga saihestu beharrean.
Makina birtualak ez du inor arau horretatik salbuesten, eta bere sare eta kredentzial diseinua gehitzen du.
Probatu axola zaizun testuingurua
Probatu aurreikusitako erabiltzailea eta aplikazioa, eta gero ukatu behar litzatekeen testuingurua. Jatorrizko pasahitzak funtzionatzen duela soilik frogatzen duen berrikuspenak autentifikazioa probatu du eta ez beste ezer.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Idatzi betearazpen-puntua emaitza bakoitzaren ondoan: bide-taula, UID araua, profileko baimena edo ateko saio-politika. Erregistro horrek hurrengo aldaketa berrikusgarri egiten du. Era berean, saihesten du galdera bera berriz irekitzea norbait bigarren saio-hasierako pantaila bat nabaritzen duen bakoitzean. Irisgarritasuna ez da baimena, eta haietako bat ere ez da isolamendua.