Wi-Fi publikoa eta VPN: tunelek estaltzen ez duena

Bereizgarri berdea, atari pozik, nabigatzaile lanean: hori da ikusgai dagoen istorio osoa. Bereizgarriak isiltzen duena zera da: konexio zifratua babestu behar zaituen haririk gabeko esteka berak garraiatzen duela. Esteka horrek oraindik pakete bakoitza entregatzen du, helmugako helbidea oraindik ikusten du eta ezer iristen den oraindik erabakitzen du. Hotel-konexio baten ordenagailuaren aldea aztertzeak erakusten du tunelek zein zati estaltzen dituen eta zein uzten dizkizun.

Sarbide-estekak dena garraiatzen du

IPsec ESP tunel batek barneko pakete babestu bat kanpoko goiburu batean biltzen du, sareak bideratu dezakeena, eta RFC 4303 atala 3.1.2 banaketa hori azaltzen du. Barneko paketea da tunelek babesten duena. Kanpoko goiburua da hotspotak irakurtzen duena birbidaltzeko. Beste diseinu batzuek beste modu batera kapsulatzen dute, baina plangintza-galdera bera da: zein sarbide-bidek garraiatzen du konexio hau?

Atearen hutsegiteak edo paketeak galtzen dituen esteka batek entrega gelditzen du edukia agerian utzi gabe. Zifratze sendoago batera aldatzeak ez du horretarako ezer egiten, falta den zatia garraioa delako, ez kriptografia. Entrega arrakastatsuak beste norabidean beste hainbeste gutxi frogatzen du, funtzionatzen duen bideak ez baitu ezer esaten bi makinetako baten egoeraz.

Zure ordenagailuak oraindik bere ate propioak ditu

Segmentu fidagaitz batean sartzeak aldatzen du nor irits daitekeen zure makinak entzuten dituen atakaetara. Fitxategiak partekatzeko zerbitzu bat, urruneko administrazio-agente bat edo interfaze guztietara lotutako garapen-zerbitzari bat segmentu horretako edonorentzat irisgarria da, zerbait gelditzen ez badu. Tunelean inoiz sartzen ez den trafikoa ez dago harekin babestuta. Tunela altxatu aurretik erantzuten duen entzule bat leiho horretarako zehazki dago agerian.

Betebeharra estu dago eta zehazki esateko merezi du: ordenagailuak VPNaren helmuga-puntua iritsi behar du, eta hotspoteko erlazionatuta ez dauden gailuek ezin dute tokiko zerbitzuetara iritsi. Ostalariaren suebakiko arauek muga hori adierazten dute, eta plataformaren partekatze-ezarpenek ere horren zati bat adierazten dute. Inprimagailu bat edo atariaren urrats bat nahita gehitzen duzun salbuespen mugatua da, ez hotspot osoak bulego-sarearen konfiantza merezi duen froga.

Erakunde batzuek tokiko sarbidea ere mugatzen dute lan-konexioa aktibo dagoen bitartean, eta hori politika da, ez ingeniaritza. Irakurri politika hori periferiko bat funtziona dezan suebakia desgaitu aurretik.

Egiaztatu zer ari den entzuten

Begiratu socketak eta ez ezarpenen orria, orriak asmoa deskribatzen duelako eta socket taulak makina deskribatzen duelako. Beheko bi zerrendek entzuten ari den socket bakoitza bizilagun batek irits dezakeenetatik bereizten dute. Exekutatu itzazu segmentu fidagaitzean tunela konektatu aurretik.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Lehen komandoak socket bakoitza erakusten du, eta bigarrenak loopbacketik haratago lotutakoetara iragazten du. 0.0.0.0 edo :: helbidean dagoen zerbitzu bat interfaze guztietan dago erabilgarri, haririk gabekoan barne, 127.0.0.1 helbideko zerbitzu bera segmentutik batere iritsi ezin den bitartean. Resolver kontsultak egiaztatzen du zein bide hartzen duen izenak tunela existitu aurretik, eta hor sartzen dira atari gatibuak. Errepikatu zerrenda konektatu ondoren, bezero batzuek erantzuna aldatzen duten interfazeak altxatzen baitituzte.

Tunela altxatuta dagoen bitartean soilik agertzen den ataka bat gutxiago dago agerian, hala ere ezagutzea merezi du. Idatzi aldea eta ez zerrenda absolutua, delta da tunelek gehitutakoa.

Ez onartu identitate berri bat saioaren erdian

Ustekabeko bide-aldaketa bat, berriz konektatzea edo atariaren birbideratze bat ez da beste zerbitzari-identitate bat onartzeko baimena. Bezeroak ziurtagailu edo gako desadostasuna salatzen badu, identitate-aurkikuntza gisa hartu, eta ez saihestu beharreko konektagarritasun gisa. Atari bat funtziona dezan erro-ziurtagailu argitu gabe bat instalatzeak entrega-arazoa konfiantza-arazo bihurtzen du. Konfiantza-arazoak, gero, sortu zuen bidaiatik haratago irauten du.

Erabili atariaren beraren nabigatzaile-fluxua, gero konektatu tunela berriro eta irakurri bezeroaren erregistroa egiaztatu duen identitatea jakiteko. Identitate-hutsegiteak esan nahi du parekoa ez dela espero zenuena, eta entrega-hutsegiteak parekoak inoiz erantzun ez zuela. Lehena gelditzeko arrazoia da, eta bigarrena beste bide bat probatzeko arrazoia.

Erabaki lehenik etenaldiko portaera

Hemen bi funtzio desberdin nahasten dira. Berriz konektatzeak zerbitzua berrezartzen saiatzen da, eta blokeo-politika batek tunelea behera dagoen bitartean zein trafiko onartzen den kontrolatzen du. Batak ez du haririk gabeko esteka funtzionalik ematen, eta batek ez du frogatzen helmuga garbi dagoenik. Aukeratu espresuki: hutsegite itxia tokiko bidea inoiz erabili behar ez duten aplikazioentzat, eta baimendu nabigatze arrunta tuneletik kanpo hori onargarria bada.

Idatzi aukera, bezero gehienetan lehenetsia ez baita bietako bat ere, eta bertsioaren arabera aldatzen da. Gero prestatu sarbide-bide alternatibo bat erabilgarritasuna garrantzitsua bada, hala nola bere datu-plan propioa duen telefono-hotspot bat. Onargarria den onarpen-proba batek hiru emaitza bereizi ditu: aurreikusitako trafikoak egiaztatutako tunela erabiltzen du, erlazionatuta ez dauden tokiko entzuleak iristezinak dira, eta etenaldi batek aukeratu duzun portaera sortzen du.