Wi-Fi عمومی و VPN: آنچه تونل پوشش نمی‌دهد
تونل یک مسیر را در شبکه‌ای که کنترلش نمی‌کنید محافظت می‌کند. پیوند، شنونده‌های محلی و رفتار هنگام قطعی را بررسی کنید؛ چیزی که نشان هرگز نشان نمی‌دهد.
نشان سبز، دروازه راضی، مرورگر سالم: این تمام داستان دیدنی است. چیزی که نشان از آن می‌گذرد این است که اتصال رمزنگاری‌شده دقیقاً توسط همان پیوند بی‌سیمی حمل می‌شود که قرار است شما را از آن محافظت کند. آن پیوند هنوز هر بسته را تحویل می‌دهد، هنوز نشانی مقصد را می‌بیند و هنوز تصمیم می‌گیرد اصلاً چیزی برسد یا نه. بررسی سمت لپ‌تاپ در یک اتصال هتلی نشان می‌دهد تونل کدام بخش‌ها را پوشش می‌دهد و کدام را به شما واگذار می‌کند.
پیوند دسترسی همه‌چیز را حمل می‌کند
تونل IPsec ESP یک بسته درونی محافظت‌شده را درون سرآیند بیرونی که شبکه می‌تواند مسیریابی کند می‌پیچد، و RFC 4303 بخش 3.1.2 این تفکیک را توضیح می‌دهد. بسته درونی همان چیزی است که تونل محافظت می‌کند. سرآیند بیرونی همان چیزی است که هات‌اسپات برای هدایت آن می‌خواند. طرح‌های دیگر به گونه دیگری کپسوله می‌کنند، اما پرسش برنامه‌ریزی یکسان است: کدام مسیر دسترسی این اتصال را حمل می‌کند؟
شکست دروازه یا پیوندی که بسته‌ها را می‌ریزد، تحویل را بدون آشکار کردن محتوا متوقف می‌کند. تغییر به رمز قوی‌تر برای آن کاری نمی‌کند، چون قطعه گم‌شده انتقال است نه رمزنگاری. تحویل موفق در جهت دیگر هم به همان اندازه کم اثبات می‌کند، چون مسیری که کار می‌کند چیزی درباره وضعیت هیچ‌یک از دو ماشین نمی‌گوید.
لپ‌تاپ شما هنوز درهای خودش را دارد
پیوستن به یک قطعه نامطمئن تغییر می‌دهد چه کسی می‌تواند به درگاه‌هایی برسد که ماشین شما روی آن‌ها گوش می‌دهد. یک سرویس اشتراک فایل، یک عامل مدیریت از راه دور یا یک سرور توسعه که به همه رابط‌ها مقید شده است، برای هر کسی در آن قطعه قابل دسترسی است مگر اینکه چیزی متوقفش کند. ترافیکی که هرگز به تونل وارد نمی‌شود با آن محافظت نمی‌شود. شنونده‌ای که پیش از برپا شدن تونل پاسخ می‌دهد، دقیقاً برای همان بازه در معرض است.
الزام باریک است و شایسته بیان دقیق: لپ‌تاپ باید به نقطه پایانی VPN برسد و دستگاه‌های نامرتبط در هات‌اسپات نباید به سرویس‌های محلی برسند. قواعد دیوار آتش میزبان این مرز را بیان می‌کند، و تنظیمات اشتراک خود پلتفرم هم بخشی از آن را بیان می‌کند. چاپگر یا یک مرحله دروازه، استثنایی محدود است که آگاهانه اضافه می‌کنید، نه شاهدی بر اینکه کل هات‌اسپات شایسته اعتماد شبکه اداری است.
برخی سازمان‌ها هنگام فعال بودن اتصال کاری دسترسی محلی را هم محدود می‌کنند، که سیاست است نه مهندسی. پیش از غیرفعال کردن دیوار آتش برای کار کردن یک دستگاه جانبی، آن سیاست را بخوانید.
بررسی کنید چه چیزی واقعاً گوش می‌دهد
به سوکت‌ها نگاه کنید نه به صفحه تنظیمات، چون صفحه نیت را توصیف می‌کند و جدول سوکت ماشین را. دو فهرست زیر هر سوکت شنونده را از آن‌هایی که همسایه می‌تواند برسد جدا می‌کند. آن‌ها را پیش از اتصال تونل در قطعه نامطمئن اجرا کنید.
ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.netفرمان اول هر سوکت را نشان می‌دهد و دومی به آن‌هایی فیلتر می‌کند که فراتر از loopback مقید شده‌اند. سرویس روی 0.0.0.0 یا :: روی هر رابط از جمله بی‌سیم در دسترس است، در حالی که همان سرویس روی 127.0.0.1 اصلاً از قطعه قابل دسترسی نیست. پرسش تفکیک‌کننده تأیید می‌کند نام پیش از وجود تونل کدام مسیر را می‌گیرد، و همان‌جاست که دروازه‌های اسیر دخالت می‌کنند. فهرست را پس از اتصال تکرار کنید، چون برخی کلاینت‌ها رابط‌هایی بالا می‌آورند که پاسخ را تغییر می‌دهند.
درگاهی که فقط وقتی تونل برپاست ظاهر می‌شود کمتر در معرض است، هرچند دانستنش هنوز ارزش دارد. تفاوت را ثبت کنید نه فهرست مطلق را، چون دلتا چیزی است که تونل افزوده است.
در میانه نشست هویت جدیدی را نپذیرید
تغییر مسیر غیرمنتظره، اتصال مجدد یا تغییر مسیر دروازه اجازه پذیرش هویت سرور دیگری نیست. اگر کلاینت ناسازگاری گواهی یا کلید را گزارش کرد، آن را یافته‌ای درباره هویت بدانید نه اتصالی که باید دورش زد. نصب گواهی ریشه توضیح‌نشده برای کار کردن یک دروازه، مشکل تحویل را به مشکل اعتماد تبدیل می‌کند. سپس مشکل اعتماد بیش از سفری که آن را ساخت زنده می‌ماند.
از جریان مرورگر خود دروازه استفاده کنید، سپس تونل را دوباره وصل کنید و گزارش کلاینت را برای هویتی که تأیید کرده بخوانید. شکست هویت یعنی طرف مقابل آن کسی نیست که انتظار داشتید، در حالی که شکست تحویل یعنی طرف مقابل هرگز پاسخ نداد. اولی دلیلی برای توقف است و دومی دلیلی برای امتحان مسیر دیگر.
ابتدا رفتار هنگام قطعی را تعیین کنید
در اینجا دو ویژگی متفاوت اشتباه گرفته می‌شود. اتصال مجدد می‌کوشد سرویس را بازگرداند، در حالی که سیاست مسدودسازی کنترل می‌کند هنگام پایین بودن تونل کدام ترافیک مجاز است. هیچ‌کدام پیوند بی‌سیم سالمی فراهم نمی‌کند و هیچ‌کدام ثابت نمی‌کند نقطه پایانی پاک است. صریح انتخاب کنید: شکست بسته برای برنامه‌هایی که هرگز نباید از مسیر محلی استفاده کنند، و اجازه مرور معمولی بیرون از تونل اگر پذیرفتنی است.
انتخاب را بنویسید، چون پیش‌فرض در بیشتر کلاینت‌ها هیچ‌یک از این دو نیست و بر اساس نسخه تغییر می‌کند. سپس اگر دسترس‌پذیری مهم است مسیر دسترسی جایگزینی ترتیب دهید، مانند هات‌اسپات تلفن با طرح داده خودش. یک آزمون پذیرش قابل قبول سه نتیجه جداگانه دارد: ترافیک موردنظر از تونل تأییدشده استفاده می‌کند، شنونده‌های محلی نامرتبط غیرقابل دسترس‌اند و قطعی رفتاری را که انتخاب کرده‌اید تولید می‌کند.