Partekatutako VPN kontua: gailu-muga ez da bezeroen isolamendua

Zortzi aldi bereko konexio lizentzia-orri bateko zenbaki bat da, eta ez du ezer esaten zortzi gailu horiek elkarri zer egin diezaioketen. Saio-hasiera partekatu bat saio bakoitzeko gakoekin batera egon daiteke, eta baita bezero baten trafikoa bestera gustura birbidaltzen duen ate batekin ere. Akatsa kontua segurtasun-muga gisa hartzea da. Egin horren ordez lau galdera bereizi: zer erosi zen, zerk babesten du tunela, zer igaro daitekeen pareen artean eta zerk bota dezakeen tokiko esteka.

Zer agintzen duen konexio-baimenak benetan

Gailu-mugak zenbat saio onartuko dituen hornitzaileak harpidetza bakarrerako. Merkataritza- eta eragiketa-kontrola da, ez identitateari edo isolamenduari buruzko adierazpena. Hornitzaile batzuek gailu bakoitzeko ziurtagiri bereiziak ematen dituzte kontu bakar baten pean; beste batzuek kredentzial bakarra berrerabiltzen dute konexio bakoitzean. Aldea baliogabetzean agertzen da, kredentzial bereiziek gailu bat mozteko aukera ematen baitizute, eta partekatuak ez dizu halako aukerarik uzten.

Irakurri hornitzaileak nola ematen dituen kredentzialak, gakoen banaketari buruz ezer suposatu aurretik. Kontuaren izenak berak ez du horretatik ezer agerian uzten.

Egiaztatu atea bezeroen artean birbidaltzen duen

Pareen arteko irisgarritasuna zerbitzari aldeko erabakia da. OpenVPN delakoan dagokion etengailua falta da konfigurazioan agertzen ez bada, baina gaur egungo datu-planoaren deskargak aldatzen du araua non ezartzen den.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Direktiba hori gabe, konfigurazioak pareen arteko trafikoa ostalariaren suebakiaren esku uzten du, eta hark oraindik baimendu dezake. Deskarga aktibo dagoenean, nukleoak kudeatzen du tunelaren interfazea erabiltzaile-espazioko prozesuak ordez, beraz egiaztatu arauen kontagailuak fitxategian fidatu beharrean. Tunel-helbideen arteko birbidalitako trafikoa blokeatzeak bezeroak isolatzen ditu haien atearekiko sarbidea ukitu gabe. Berretsi bezero batetik besterako zerbitzu baterako proba batekin, araua aurretik eta ondoren.

Babestu saioa pareak baino lehen

Tunelaren babesa eta pareen arteko sarbidea propietate desberdinak dira, eta zifratze sendoak ez du isolamendua esan nahi. TLS moduan bezero bakoitzak bere saio-gakoak eratortzen ditu, beraz bezero batek ezin du beste baten trafikoa irakurri atea hura birbidaltzen ari denean ere. Gako estatikoaren antolamendu zaharrak gako bakarra partekatzen du denon artean, horregatik saio-hasiera hor berrerabiltzeak ondorio askoz okerragoak ditu. Egiazta ezazu konfiguratutako modua, eta ez marketin-orria, eta gero epaitu kontua partekatzeak datuekin bat egiten duen.

Ostalari bakoitzean zerbitzuaren autentifikazioa garrantzitsua da oraindik, zeren tunelak bezero bat sarera iritsi dela frogatzen du soilik, ez deabru zehatz batera iritsi behar duela.

Tokiko Wi-Fi hutsegiteak ez dira VPN konpromisoa

Eroritako konexioak tokiko esteka huts egin zuela frogatzen du, ez inork tunela hautsi zuenik. Interferentziek, galdu den DHCP maizterretak eta ibiltaritzako eskualdaketak saioa amaitzen dute kredentzialak edo zifratutako testua ukitu gabe. Hartu deskonexioa erabilgarritasun-aurkikuntza gisa eta eduki bereiz konfidentzialtasun eta pareen sarbidearen aurkikuntzetatik. Tokiko sarea fidagarria ez den lekuan, babestu trafikoa muturretik muturrera tunelaz bakarrik baliatu beharrean.

Idatzi lau erantzunak: baimena, gako-eredua, pareen politika eta tokiko estekaren mendekotasuna. Erregistro horrek kontu partekatuari buruzko kezka lausoa kontrol zehatz bihurtzen du.