حساب VPN مشترک: محدودیت دستگاه به معنای جداسازی کاربران نیست

هشت اتصال همزمان عددی از یک صفحهٔ مجوز است و هیچ چیزی دربارهٔ کاری که این هشت دستگاه می‌توانند با هم بکنند نمی‌گوید. یک ورود مشترک می‌تواند همراه با کلیدهای هر نشست وجود داشته باشد و همچنین همراه با دروازه‌ای که با خوشحالی ترافیک یک کاربر را به دیگری می‌فرستد. اشتباه این است که حساب را مرز امنیتی بدانیم. در عوض چهار پرسش جداگانه بپرسید: چه چیزی خریده شده، چه چیزی از تونل محافظت می‌کند، چه چیزی می‌تواند میان همتاها رد شود و چه چیزی می‌تواند پیوند محلی را از کار بیندازد.

اجازهٔ اتصال در واقع چه چیزی را وعده می‌دهد

محدودیت دستگاه می‌شمارد که ارائه‌دهنده برای یک اشتراک چند نشست را می‌پذیرد. این یک کنترل تجاری و عملیاتی است، نه بیانیه‌ای دربارهٔ هویت یا جداسازی. برخی ارائه‌دهنده‌ها برای هر دستگاه گواهی جداگانه زیر یک حساب صادر می‌کنند؛ برخی دیگر یک اعتبارنامه را برای هر اتصال دوباره به کار می‌برند. تفاوت هنگام لغو آشکار می‌شود، زیرا اعتبارنامه‌های جداگانه به شما اجازه می‌دهند یک دستگاه را قطع کنید، اما اعتبارنامهٔ مشترک چنین گزینه‌ای باقی نمی‌گذارد.

پیش از فرض هر چیزی دربارهٔ جداسازی کلیدها بخوانید که ارائه‌دهنده چگونه اعتبارنامه صادر می‌کند. نام حساب خودش هیچ چیزی از این را آشکار نمی‌کند.

بررسی کنید که آیا دروازه میان کاربران ارسال می‌کند

دسترسی میان همتاها تصمیمی در سمت سرور است. در OpenVPN کلید مربوطه غایب است مگر آنکه در پیکربندی بیاید، اما تخلیهٔ مدرن لایهٔ داده تغییر می‌دهد که قاعده کجا اعمال شود.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

پیکربندی بدون آن دستور، ترافیک همتاها را به دیوار آتش میزبان می‌سپارد که هنوز ممکن است آن را مجاز کند. وقتی تخلیه فعال است، هسته رابط تونل را به‌جای فرایند فضای کاربر مدیریت می‌کند، پس شمارنده‌های قاعده را بررسی کنید نه اینکه به فایل اعتماد کنید. مسدودکردن ترافیک ارسال‌شده میان نشانی‌های تونل، کاربران را بدون دست‌زدن به دسترسی‌شان به دروازه جدا می‌کند. این را با یک آزمون از یک کاربر به سرویسی روی کاربر دیگر تأیید کنید، هم پیش از قاعده و هم پس از آن.

پیش از همتاها از نشست محافظت کنید

حفاظت تونل و دسترسی همتاها ویژگی‌های متفاوتی هستند و رمزنگاری قوی به معنای جداسازی نیست. در حالت TLS هر کاربر کلیدهای نشست خود را می‌سازد، پس یک کاربر نمی‌تواند ترافیک دیگری را بخواند حتی وقتی دروازه آن را منتقل می‌کند. آرایش قدیمی کلید ایستا یک کلید را میان همه مشترک می‌کند و به همین دلیل استفادهٔ دوباره از ورود در آنجا پیامدهای بسیار بدتری دارد. حالت پیکربندی‌شده را بررسی کنید نه صفحهٔ بازاریابی را، سپس داوری کنید که آیا اشتراک حساب با داده‌های موردنظر تناسب دارد.

احراز هویت سرویس روی هر میزبان هنوز مهم است، زیرا تونل تنها ثابت می‌کند که کاربری به شبکه رسیده است، نه اینکه باید به سرویس‌دهندهٔ معینی برسد.

خرابی‌های Wi-Fi محلی نقض VPN نیستند

اتصال قطع‌شده ثابت می‌کند پیوند محلی شکست خورده است، نه اینکه کسی تونل را شکسته باشد. تداخل، از دست رفتن اجارهٔ DHCP و جابه‌جایی در پیمایش، همه نشستی را بدون دست‌زدن به اعتبارنامه‌ها یا متن رمزشده پایان می‌دهند. قطع اتصال را یافته‌ای دربارهٔ دسترس‌پذیری بدانید و آن را از یافته‌های محرمانگی و دسترسی همتاها جدا نگه دارید. جایی که شبکهٔ محلی قابل اعتماد نیست، ترافیک را سرتاسر محافظت کنید نه اینکه تنها به تونل تکیه کنید.

چهار پاسخ را بنویسید: اجازه، مدل کلید، سیاست همتاها و وابستگی به پیوند محلی. این سابقه نگرانی مبهم دربارهٔ حساب مشترک را به کنترل‌های مشخص تبدیل می‌کند.