Ien VPN-oanmelding op in dielde kompjûter: wa krijt de rûte noch mear?
In VPN-oanmelding ferifiearret ien persoan; de rûte dy't it ynstallearret is in oar berik. Ferlykje hostsbrede, per-brûker en per-programma-tunnels op in dielde masine.
It dielen fan in wurkstasjon ropt in fraach op dy't in laptop foar ien brûker nea beantwurdzje moat: as ien persoan de tunnel ferifiearret, wa kin him dan noch mear brûke? De oanmelding identifisearret in subjekt, en de rûte dy't it ynstallearret beskriuwt in berik, en dy twa dingen binne net itselde objekt. Tusken har yn sitte it bestjoeringssysteem, de konfiguraasje fan 'e klient en wat de partikuliere tsjinst sels easket. It ferlykjen fan 'e hanthaveningspunten is de iennige manier om de fraach sûnder rieden te beantwurdzjen.
Ien oanmelding, ferskate berikken
Autentikaasje beantwurdet wa't talitten waard. De rûte beantwurdet hokker pakketten de tunnel ferlitte meie. Autorisaaasje beantwurdet hokker tsjinst de resultearjende ferbining akseptearje sil, en gjin fan 'e trije ymplisearret de folgjende.
In hostsbrede tunnel is de gewoane standert, en hy makket de kleau dúdlik. De rûte stiet yn 'e tabel fan 'e kernel, sadat elk proses dat dy tabel brûkt it partikuliere netwurk berikke kin, ek ien dat start is troch in brûker dy't nea de VPN-dialooch sjoen hat. Dat is gjin mankement yn 'e tunnel; dat is wat in systeembrede rûte betsjut. De partikuliere tsjinst kin de ferbining noch altyd wegerje, en dêrom hawwe berikberens en tastimming aparte antwurden nedich.
De fjouwer fragen foar it testen opskriuwe hâldt de resinsje derfan ôf om yn ien fan har te fallen.
Wêr't de grins eins leit
Fjouwer regelingen dekke de measte masines: in hostsbrede tunnel, in ferbining per brûker, in talittingslist per programma en in aparte netwurknammeromte of firtuele masine.
Elk set it hanthaveningspunt earne oars, en de ferskillen binne wichtiger as de labels. In ferbining per brûker wurdt hanthavene troch de tastimmingen fan it profyl, net troch it oanmeldingsskerm fan it buroblêd. In talittingslist per programma wurdt hanthavene yn 'e klient, dy't beslút wat er drage sil. In nammeromte of in VM hanthavet by de grins fan 'e ynterface, sadat in proses binnen de rûte fan 'e host hielendal net sjen kin. It oantal oanmeldingsskermen op 'e masine seit neat oer ien fan har.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
It lêzen fan 'e tabel rigel foar rigel lit sjen dat de echte fraach net is oft isolaasje bestiet, mar wêr't it implementearre is.
Ferlykje fjouwer hanthaveningspunten
Op Linux is de rûtetabel it earste dat ûndersocht wurde moat, om't in hostsbrede tunnel dêr ferskynt en in nammeromte net. It opfreegjen as de twadde brûker útfiere is de stap dy't minsken oerslaan; it antwurd ferskilt fan dat se as harsels krigen, en dat ferklearret it rapport.
De folgjende twa kontrôles sjogge nei belied ynstee fan routing. In firewallregel dy't by in UID past jildt foar lokaal oanmakke ferkear, sadat er twa brûkers op ien host skiede kin sels as beide de rûte diele. In ferbiningsprofyl mei in eksplisite talittingslist wurdt by aktivearring troch de netwurkbehearder hanthavene. Gjin fan 'e kontrôles easket dat de tunnel feroaret, en dêrom is it de muoite wurdich se te dwaan foardat der eat op 'e nij ûntwurpen wurdt.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidAs de twadde opfrege de tunnelrûte toant, is de grins net dêr't it ûntwerp oannaam.
Regels foar tagelyk sesjes binne in aparte kontrôle
Gateways beheine faak hoefolle sesjes ien akkount hâlde mei, en dy limyt hat neat mei lokale brûkers te krijen. Hy beheint it akkount, sadat in twadde persoan dy't mei deselde feamldetails oanmeldt de tunnel fan 'e earste beëinigje kin.
Lês de mislearring foardat jo in lokaal isolaasjeprobleem oannimme. In sesjelimyt soarget foar in ferbrekking by de gateway, wylst in berikprobleem in wurkjende tunnel oplevert dy't gewoan it ferkear fan 'e oare brûker net draacht. Dy twa symptomen liede ta folslein ferskillende reparaasjes. Hâld it krekte klientberjocht, om't it meastentiids de regel neamt. Freegje de profyleigner om de goedkarde wurkstream ynstee fan de limyt te omgean.
In firtuele masine ûntheft nimmen fan dy regel en foeget syn eigen netwurk- en feamldetailsûntwerp ta.
Test it kontekst dat jo oanbelanget
Test de bedoelde brûker en it programma, en test dan in kontekst dy't wegere wurde moat. In resinsje dy't allinnich bewiist dat it oarspronklike wachtwurd wurket, hat autentikaasje test en neat oars.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Skriuw it hanthaveningspunt by elk resultaat: de rûtetabel, in UID-regel, in profyltastimming of it sesjebelied fan 'e gateway. Dat ferslach makket de folgjende feroaring te resinsjen. It keart ek dat deselde fraach eachris wer iepene wurdt as immen in twadde oanmeldingsskerm fernimt. Berikberens is gjin autorisaasje, en gjin fan beide is isolaasje.