Yksi VPN-kirjautuminen jaetulla tietokoneella: kuka muu saa reitin?
VPN-kirjautuminen todentaa yhden henkilön; asennettava reitti on eri laajuus. Vertaa koko isäntää, käyttäjää ja sovellusta koskevia tunneleita jaetulla koneella.
Työaseman jakaminen nostaa esiin kysymyksen, johon yhden käyttäjän kannettavan ei koskaan tarvitse vastata: kun yksi henkilö todentaa tunnelin, kuka muu voi käyttää sitä? Kirjautuminen tunnistaa subjektin, ja asennettava reitti kuvaa laajuuden, eivätkä nämä kaksi ole sama objekti. Niiden välissä ovat käyttöjärjestelmä, asiakkaan kokoonpano ja se, mitä yksityinen palvelu vaatii itse. Valvontapisteiden vertailu on ainoa tapa vastata kysymykseen arvaamatta.
Yksi kirjautuminen, useita laajuuksia
Todennus vastaa siihen, kuka päästettiin sisään. Reitti vastaa siihen, mitkä paketit saavat poistua tunnelin kautta. Valtuutus vastaa siihen, mikä palvelu hyväksyy syntyvän yhteyden, eikä mikään kolmesta edellytä seuraavaa.
Koko isännän kattava tunneli on tavallinen oletus, ja se tekee eron näkyväksi. Reitti on ytimen taulukossa, joten jokainen prosessi, joka käyttää sitä taulukkoa, voi tavoittaa yksityisen verkon, myös sellainen, jonka käynnisti käyttäjä, joka ei koskaan nähnyt VPN-ikkunaa. Se ei ole tunnelin vika; se on järjestelmänlaajuisen reitin merkitys. Yksityinen palvelu voi silti hylätä yhteyden, ja siksi tavoitettavuus ja lupa tarvitsevat erilliset vastaukset.
Neljän kysymyksen kirjoittaminen ennen testausta estää katsauksen luhistumisen yhteen niistä.
Missä raja todella sijaitsee
Neljä järjestelyä kattaa useimmat koneet: koko isännän tunneli, käyttäjäkohtainen yhteys, sovelluskohtainen sallittujen luettelo ja erillinen verkon nimiavaruus tai virtuaalikone.
Kukin sijoittaa valvontapisteen eri paikkaan, ja erot merkitsevät enemmän kuin nimikkeet. Käyttäjäkohtaisen yhteyden toteuttavat profiilin käyttöoikeudet, eivät työpöydän kirjautumisnäyttö. Sovelluskohtaisen sallittujen luettelon toteuttaa asiakas sisällään ja päättää, mitä se kuljettaa. Nimiavaruus tai VM toteuttaa rajapinnan rajalla, joten sisällä oleva prosessi ei näe isännän reittiä lainkaan. Koneen kirjautumisnäyttöjen määrä ei kerro niistä yhdestäkään mitään.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Taulukon rivikohtainen lukeminen osoittaa, että todellinen kysymys ei ole, onko eristystä, vaan mihin se on toteutettu.
Vertaa neljää valvontapistettä
Linuxissa reittitaulukko on ensimmäinen tarkistettava, koska koko isännän tunneli näkyy siellä eikä nimiavaruus näy. Hakujen suorittaminen toisena käyttäjänä on se askel, jonka ihmiset ohittavat; vastaus eroaa siitä, jonka he saivat itseään käyttäen, ja se selittää raportin.
Kaksi seuraavaa tarkistusta katsovat käytäntöä eikä reititystä. UID:iin täsmäävä palomuurin sääntö koskee paikallisesti syntyvää liikennettä, joten se voi erottaa kaksi käyttäjää samalla isännällä, vaikka molemmat jakaisivat reitin. Yhteyden profiili, jossa on nimenomainen lupaluettelo, toteutetaan verkkohallinnan toimesta aktivoinnin yhteydessä. Kumpikaan tarkistus ei vaadi tunnelin muuttamista, joten ne kannattaa tehdä ennen minkään uudelleensuunnittelua.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidJos toinen haku näyttää tunnelin reitin, raja ei ole siinä, missä suunnittelu oletti.
Samanaikaisten istuntojen säännöt ovat erillinen valvonta
Yhdyskäytävät rajoittavat usein, kuinka monta istuntoa yksi tili voi pitää, eikä tuo raja liity mitenkään paikallisiin käyttäjiin. Se rajoittaa tiliä, joten toinen henkilö, joka kirjautuu samoilla tunnuksilla, voi päättää ensimmäisen tunnelin.
Lue epäonnistuminen ennen kuin oletat paikallista eristysongelmaa. Istuntoraja tuottaa katkoksen yhdyskäytävällä, kun taas laajuusongelma tuottaa toimivan tunnelin, joka ei yksinkertaisesti kuljeta toisen käyttäjän liikennettä. Nämä kaksi oiretta johtavat täysin erilaisiin korjauksiin. Säilytä asiakkaan tarkka viesti, koska se yleensä nimeää säännön. Pyydä profiilin omistajalta hyväksytty työnkulku sen sijaan, että kiertäisit rajaa.
Virtuaalikone ei vapauta ketään tuosta säännöstä, ja se tuo mukanaan oman verkko- ja tunnusratkaisunsa.
Testaa ympäristöä, jolla on merkitystä
Testaa aiottu käyttäjä ja sovellus ja testaa sitten ympäristö, joka pitäisi hylätä. Katsaus, joka vain osoittaa, että alkuperäinen salasana toimii, on testannut todennuksen eikä muuta.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Kirjaa valvontapiste jokaisen tuloksen viereen: reittitaulukko, UID-sääntö, profiilin käyttöoikeus tai yhdyskäytävän istuntokäytäntö. Tämä kirjaus tekee seuraavasta muutoksesta tarkistettavan. Se myös estää saman kysymyksen avaamisen uudelleen joka kerta, kun joku huomaa toisen kirjautumisnäytön. Tavoitettavuus ei ole valtuutus, eikä kumpikaan niistä ole eristys.