Julkinen Wi-Fi ja VPN: mitä tunneli ei kata

Vihreä merkki, tyytyväinen portaali, toimiva selain: siinä koko näkyvä tarina. Merkki jättää kertomatta, että salatun yhteyden kuljettaa juuri se langaton linkki, jolta sen pitäisi suojata sinua. Se linkki toimittaa edelleen jokaisen paketin, näkee edelleen kohdeosoitteen ja päättää edelleen, saapuuko mitään lainkaan. Hotelliyhteyden kannettavan puolen tarkastelu näyttää, mitkä osat tunneli kattaa ja mitkä se jättää sinulle.

Yhteyslinkki kuljettaa kaiken

IPsec ESP -tunneli käärii suojatun sisäpaketin ulompaan otsikkoon, jonka verkko voi reitittää, ja RFC 4303 luku 3.1.2 esittää tämän jaon. Sisäpaketti on se, mitä tunneli suojaa. Ulompi otsikko on se, mitä hotspot lukee välittääkseen sen. Muut mallit kapseloivat eri tavalla, mutta suunnittelukysymys on sama: mikä yhteyspolku kuljettaa tämän yhteyden?

Yhdyskäytävän vika tai linkki, joka pudottaa paketteja, pysäyttää toimituksen paljastamatta sisältöä. Vahvempaan salaukseen siirtyminen ei auta siihen, koska puuttuva osa on kuljetus, ei kryptografia. Onnistunut toimitus todistaa yhtä vähän toiseen suuntaan, koska toimiva polku ei kerro mitään kummankaan koneen tilasta.

Kannettavallasi on edelleen omat ovensa

Liittyminen epäluotettavaan segmenttiin muuttaa sitä, kuka voi tavoittaa portit, joilla koneesi kuuntelee. Tiedostojen jakopalvelu, etähallinta-agentti tai kaikkiin liitäntöihin sidottu kehityspalvelin on jokaisen segmentissä olevan tavoitettavissa, ellei jokin estä sitä. Liikenne, joka ei koskaan tule tunneliin, ei ole sen suojaama. Kuuntelija, joka vastaa ennen kuin tunneli on ylhäällä, on altis juuri sen ikkunan ajan.

Vaatimus on kapea ja kannattaa muotoilla tarkasti: kannettavan on tavoitettava VPN:n päätepiste, eivätkä hotspotin liittymättömät laitteet saa tavoittaa paikallisia palveluita. Isäntäkoneen palomuurisäännöt ilmaisevat tämän rajan, ja alustan omat jakamisasetukset ilmaisevat osan siitä. Tulostin tai portaalin vaihe on rajattu poikkeus, jonka lisäät tarkoituksella, ei todiste siitä, että koko hotspot ansaitsee toimistoverkon luottamuksen.

Jotkin organisaatiot rajoittavat myös paikallista pääsyä työyhteyden ollessa aktiivinen, mikä on politiikkaa eikä tekniikkaa. Lue tämä politiikka ennen kuin poistat palomuurin käytöstä, jotta oheislaite toimisi.

Tarkista, mikä todella kuuntelee

Katso pistokkeita äläkä asetussivua, koska sivu kuvaa aikomuksen ja pistoketaulukko kuvaa koneen. Alla olevat kaksi listausta erottavat jokaisen kuuntelevan pistokkeen niistä, joihin naapuri voisi päästä. Suorita ne epäluotettavassa segmentissä ennen tunnelin yhdistämistä.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Ensimmäinen komento näyttää jokaisen pistokkeen, ja toinen suodattaa ne, jotka on sidottu loopbackin ulkopuolelle. Palvelu osoitteessa 0.0.0.0 tai :: on saatavilla kaikilla liitäntöillä, myös langattomalla, kun taas sama palvelu osoitteessa 127.0.0.1 ei ole segmentistä lainkaan tavoitettavissa. Ratkaisijan kysely vahvistaa, minkä polun nimi ottaa ennen tunnelin olemassaoloa, ja juuri siinä captive-portaalit puuttuvat. Toista listaus yhdistämisen jälkeen, koska jotkin asiakkaat nostavat liitäntöjä, jotka muuttavat vastausta.

Portti, joka ilmestyy vain tunnelin ollessa ylhäällä, on vähemmän altis, vaikka siitä on silti hyvä tietää. Kirjaa ero eikä absoluuttista listaa, koska delta on se, mitä tunneli lisäsi.

Älä hyväksy uutta identiteettiä kesken istunnon

Odottamaton reittimuutos, uudelleenyhdistäminen tai portaalin uudelleenohjaus ei ole lupa hyväksyä eri palvelinidentiteettiä. Jos asiakas ilmoittaa varmenteen tai avaimen ristiriidasta, käsittele sitä identiteettilöydöksenä äläkä yhteytenä, jota pitää kiertää. Selittämättömän juurivarmenteen asentaminen portaalin toimimiseksi muuttaa toimitusongelman luottamusongelmaksi. Luottamusongelma elää sen jälkeen kauemmin kuin matka, joka sen loi.

Käytä portaalin omaa selainvirtaa, yhdistä sitten tunneli uudelleen ja lue asiakaslokista, minkä identiteetin se vahvisti. Identiteettivirhe tarkoittaa, että vastapuoli ei ole se, jota odotit, kun taas toimitusvirhe tarkoittaa, että vastapuoli ei koskaan vastannut. Ensimmäinen on syy pysähtyä ja toinen syy kokeilla toista polkua.

Päätä ensin katkoksen käyttäytyminen

Tässä sekoitetaan kaksi eri ominaisuutta. Uudelleenyhdistäminen yrittää palauttaa palvelun, kun taas estopolitiikka ohjaa, mikä liikenne on sallittua tunnelin ollessa alhaalla. Kumpikaan ei tarjoa toimivaa langatonta linkkiä eikä kumpikaan todista, että päätepiste on puhdas. Valitse nimenomaisesti: suljettu epäonnistuminen sovelluksille, jotka eivät saa koskaan käyttää paikallista polkua, ja salli tavallinen selailu tunnelin ulkopuolella, jos se on hyväksyttävää.

Kirjoita valinta muistiin, koska useimpien asiakkaiden oletus ei ole kumpikaan ja se vaihtelee version mukaan. Järjestä sitten vaihtoehtoinen yhteyspolku, jos käytettävyys on tärkeää, kuten puhelimen hotspot omalla datapaketillaan. Hyväksyttävässä hyväksymistestissä on kolme erillistä tulosta: aiottu liikenne käyttää vahvistettua tunnelia, liittymättömät paikalliset kuuntelijat ovat tavoittamattomia ja katkos tuottaa valitsemasi käyttäytymisen.