Jaettu VPN-tili: laiteraja ei ole asiakkaiden eristäminen

Kahdeksan samanaikaista yhteyttä on luku lisenssisivulta, eikä se kerro mitään siitä, mitä ne kahdeksan laitetta voivat tehdä toisilleen. Jaettu kirjautuminen voi esiintyä yhdessä istuntokohtaisten avainten kanssa, ja se voi esiintyä myös yhdyskäytävän kanssa, joka välittää mielellään yhden asiakkaan liikennettä toiselle. Virhe on pitää tiliä turvarajana. Esitä sen sijaan neljä erillistä kysymystä: mitä ostettiin, mikä suojaa tunnelia, mitä vertaisten välillä saa kulkea ja mikä voi kaataa paikallisen linkin.

Mitä yhteyskiintiö oikeastaan lupaa

Laiteraja laskee, kuinka monta istuntoa palveluntarjoaja hyväksyy yhtä tilausta kohden. Se on kaupallinen ja operatiivinen valvontakeino, ei lausunto identiteetistä tai eristämisestä. Jotkut tarjoajat myöntävät jokaiselle laitteelle erillisen varmenteen yhden tilin alla, toiset käyttävät samaa tunnusta uudelleen joka yhteydessä. Ero näkyy peruutuksen hetkellä, koska erilliset tunnukset antavat katkaista yhden laitteen, kun taas jaettu tunnus ei jätä sinulle sitä vaihtoehtoa.

Lue, miten tarjoaja myöntää tunnukset, ennen kuin oletat mitään avainten erottelusta. Tilin nimi itsessään ei paljasta siitä mitään.

Tarkista, välittääkö yhdyskäytävä asiakkaiden välillä

Vertaisten tavoitettavuus on palvelinpuolen päätös. Kohteessa OpenVPN asiaankuuluva kytkin puuttuu, ellei se esiinny määrityksessä, mutta nykyaikainen datatason purku muuttaa sitä, missä sääntö pannaan täytäntöön.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Määritys ilman tuota direktiiviä jättää vertaisten välisen liikenteen isännän palomuurille, joka voi yhä sallia sen. Kun purku on aktiivinen, ydin hoitaa tunneliliittymää käyttäjäavaruuden prosessin sijaan, joten tarkista sääntölaskurit sen sijaan että luottaisit tiedostoon. Tunnelin osoitteiden välisen välitetyn liikenteen estäminen eristää asiakkaat koskematta heidän pääsyynsä yhdyskäytävään. Vahvista se kokeella yhdeltä asiakkaalta toisen palveluun, sekä ennen sääntöä että sen jälkeen.

Suojaa istunto ennen vertaisia

Tunnelin suojaus ja vertaisten pääsy ovat eri ominaisuuksia, eikä vahva salaus tarkoita eristämistä. TLS-tilassa jokainen asiakas johtaa omat istuntoavaimensa, joten yksi asiakas ei voi lukea toisen liikennettä, vaikka yhdyskäytävä välittäisi sen. Vanha staattisen avaimen järjestely jakaa yhden avaimen kaikkien kesken, minkä vuoksi kirjautumisen uudelleenkäyttö siinä on paljon pahempi asia. Tarkastele määritettyä tilaa etkä markkinointisivua ja arvioi sitten, sopiiko tilin jakaminen kyseisille tiedoille.

Palvelun todennus kussakin isännässä on yhä tärkeää, koska tunneli todistaa vain, että asiakas pääsi verkkoon, ei sitä, että sen pitäisi päästä tiettyyn taustapalveluun.

Paikalliset Wi-Fi-häiriöt eivät ole VPN:n murtaminen

Katkennut yhteys todistaa, että paikallinen linkki petti, ei sitä, että joku murtaisi tunnelin. Häiriöt, menetetty DHCP-vuokraus ja verkkovierailun siirto päättävät istunnon koskematta tunnuksiin tai salakirjoitukseen. Käsittele katkoa saatavuushavaintona ja pidä se erillään luottamuksellisuuden ja vertaisten pääsyn havainnoista. Siellä missä paikallinen verkko ei ole luotettava, suojaa liikenne päästä päähän sen sijaan että nojaisit pelkkään tunneliin.

Kirjoita neljä vastausta muistiin: kiintiö, avainmalli, vertaiskäytäntö ja riippuvuus paikallisesta linkistä. Se merkintä muuttaa epämääräisen huolen jaetusta tilistä konkreettisiksi valvontakeinoiksi.