Zergatik behar duen partekatutako TAP VPN batek oraindik HTTPS atarian
TAP VPN batek parekoa autentifikatzen du, ez haren atzeko zerbitzua. Mantendu ostalari-izenaren balidazioa atarian eta isolatu fidatzen ez dituzun bizilagunak.
Bi gailuk baliozko VPN kredentzialak dituzte eta Ethernet segmentu zubidun bat partekatzen dute. Horietako bakarrak eman behar du bulegoko atariaren berri, eta besteak oraindik aldarrikatu dezake atariaren helbidea segmentu horretan. Tunelak bere lana egin zuen: bi parekoak autentifikatu zituen eta zerbitzariko bide bakoitza zifratu zuen. Egin ez zuena zerbitzu-izen bat zeinek duen ziurtatzea izan zen, eta hutsune hori da atariak oraindik baliozko ziurtagiria behar duen arrazoia.
Zer autentifikatzen duen VPNak benetan
VPN esku-ukaldi batek galdera bati erantzuten dio: zein parekok amaitu du tunel hau eta zein gako-materialekin. Erantzun hori pareko eta konexio bakoitzekoa da, eta ez du ezer esaten pareko horrek geroago erakusten dituen zerbitzuei buruz. TAP segmentu batean parekoa ez da helbide bakarra ere, zubiak ikasteko prest dagoen edozein MAC eta edozein IP aurkez baitezake. Autentifikazioa tunelaren muturrean gelditzen da, ez aplikazioan.
Bereizi hiru galderak bat bakarrean bateratu beharrean. Bakoitzak bere mekanismoa eta bere hutsegite-modua ditu.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Hedapen batek tunel ezin hobeto autentifikatua eta haren atzean erabat autentifikatu gabeko zerbitzua izan ditzake. Bigarren geruzako helbidea beste pareko batek aldarrikatzen duen ostalari batean baliozkotutako ziurtagiria ere izan dezake, eta horregatik bi kontrolak diseinuan sartu behar dira, bat bestearen ordez jarri beharrean. Taula hiru errenkadatan emandako argudio osoa da.
ARP partekatutako segmentu batean ez da direktorioa
ARPk IPv4 helbide bat MAC batera mapatzen du tokiko loturan eta lotura horretan edonoren erantzunak onartzen ditu. Segmentu zubidun permisibo batean pareko batek beste gailu bati dagokion helbidea aldarrikatu dezake, eta zubiak markoak azken erantzun duenari bidaltzen dizkio. Bezeroaren bide bakoitza zerbitzarira zifratzeak ez du hori aldatzen, markoak zubira iritsi aurretik deszifratzen baitira. ARPren konfiantza-muga segmentua da, ez tunela.
Begiratu zer ikasi duen ostalariak benetan: ip neigh show aginteak uneko mapaketak eta haien egoera zerrendatzen ditu, eta funtzionamendu arruntean bi MAC helbideren artean aldatzen den sarrera ikertu beharreko sintoma da, baztertu beharrekoa izan beharrean. Segmentu txiki osasuntsu batean sarrera horiek egonkor mantentzen dira denbora luzez.
Parekoen isolamendua eta zubiaren politika kasu honetarako bertarako dira. Diseinu bideratuak erantzun hobea izan ohi da zerbitzua IP hutsezkoa denean eta gailuek elkarren markoak ikusteko inolako arrazoirik ez dutenean.
Edatu ziurtagiriaren balidazioa zerbitzua dagoen tokian
Aplikazioaren TLSak tunelak ezin duen galderari erantzuten dio: hau al da iritsi nahi nuen zerbitzua. Nabigatzaileak ostalari-izena ziurtagiriaren aurka egiaztatzen du, eta egiaztapen hori da katea osatzen duen zatietatik ataria izendatzen duena, parekoa izan beharrean.
Aztertu zer aurkezten duen zerbitzariak, abisua kosmetikoa dela erabaki aurretik. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal aginteak katea eta subjektuaren izen alternatiboak inprimatzen ditu. Idatzi duzun izena zerrenda horretan ez badago, abisua zuzena da eta ziurtagiria da konpondu behar dena. Erabiltzaileei hura saihesten irakasteak funtzionatzen duen kontrola apaingarri bihurtzen du.
OpenVPN zubiratze-gida Ethernet eredua eta inguruko politika-aukerak deskribatzen ditu, eta segmentuak zer baimendu behar duen jakiteko erreferentzia zuzena da. Irakurri ezazu zubi-arau bat lasaitzen hasi aurretik, deskribatzen duen eredua baita goiko egiaztapen guztiek suposatzen dutena.
Erabaki pareko horiek segmentu bat partekatu behar duten ala ez
Konponbiderik merkeena bigarren geruza partekatzeari uztea izaten da, eskakizuna IP irisgarritasuna baino ez denean. VPN bideratuak bezero bakoitzari bere helbidea ematen dio, difusio-domeinu partekatua kentzen du eta parekoen arteko trafikoa politika-erabaki bihurtzen du, lehenetsitako balio izan beharrean. Orduan atariak helbide bakarra du babesteko eta ez du hura aldarrikatu dezakeen bizilagunik.
Segmentuak geratu behar badu, egiaztatu bezeroek elkarrengana iristea ahalbidetzen duen zerbitzari aldeko ezarpena: grep -n client-to-client /etc/openvpn/server.conf. Desgaituta dagoenean, bezeroen trafikoa zerbitzaritik igarotzen da eta han iragaz daiteke. Gaituta dagoenean, parekoek markoak zuzenean trukatzen dituzte zubiaren bidez eta zure iragazketa-puntuak zubia eta ostalariaren suebakia dira.
Idatzi zein babesetan oinarritzen den ostalari bakoitza benetan: tunelaren autentifikazioa, segmentuaren isolamendua edo aplikazioaren TLSa. Hiruetan oinarritzen den ostalaria ondo dago. Lehenengoan oinarritu eta beste biak harekin etorri zirela suposatzen duena da, azkenean edukia oker zerbitzatzen duena.