Iepenbiere Wi-Fi en in VPN: wat de tunnel net dekt

De tunnel beskermet ien paad troch in netwurk dat jo net behearskje. Rin de keppeling, de lokale harkers en it gedrach by in ûnderbrekking nei, dat de badge nea sjen lit.

Griene badge, tefreden portaal, wurkjende browser: dat is it hiele sichtbere ferhaal. Wat de badge weilitten is dat de fersifere ferbining droegen wurdt troch krekt de draadleaze keppeling dêr't er jo tsjin beskermje moat. Dy keppeling leveret noch hieltyd elk pakket, sjocht noch hieltyd it einpuntadres en beslúdt noch hieltyd oft der wol eat oankomt. It lúkseftige fan in hotelferbining neirinnen lit sjen hokker dielen de tunnel dekt en hokker er oan jo oerlitten.

De tagongskeppeling draacht alles

In IPsec ESP-tunnel wynt in beskerme binnenste pakket yn in bûtenste koptekst dy't it netwurk routearje kin, en RFC 4303 paragraaf 3.1.2 leit dy splitsing út. It binnenste pakket is wat de tunnel beskermet. De bûtenste koptekst is wat de hotspot lêst om it troch te stjoeren. Oare ûntwerpen kapselje oars yn, mar de planfrage is itselde: hokker tagongspaad draacht dizze ferbining?

In poarteflater of in keppeling dy't pakketten falle lit, stoppet de levering sûnder ynhâld te iepenbierjen. Oergean nei in sterker sifer docht dêr neat oan, om't it ûntbrekkende stik ferfier is en net kryptografy. In slagge levering bewiist like min yn 'e oare rjochting, om't in wurkjend paad neat seit oer de tastân fan ien fan 'e beide masines.

Jo laptop hat noch hieltyd syn eigen doarren

Oansluten by in net fertrouber segmint feroaret wa't de poarten berikke kin dêr't jo masine op harket. In triemdieletsjinst, in agint foar op ôfstân bestjoer of in ûntwikkelingsserver bûn oan alle ynterfaces is berikber foar elkenien yn dat segmint, útsein as eat it stoppet. Ferkear dat nea de tunnel yn giet, is der net troch beskerme. In harker dy't antwurdet foardat de tunnel oer ein is, is krekt foar dat finster bleatsteld.

De eask is smel en wurdich om sekuer te formulearjen: de laptop moat it VPN-einpunt berikke, en net-relatearre apparaten op 'e hotspot meie gjin lokale tsjinsten berikke. Regels fan 'e host-firewall uterje dy grins, en de eigen diel-ynstellingen fan it platfoarm uterje dêr ek in part fan. In printer of in portaalstap is in beheinde útsûndering dy't jo bewust tafoegje, gjin bewiis dat de hiele hotspot it fertrouwen fan in kantoar-LAN fertsjinnet.

Guon organisaasjes beheine ek lokale tagong wylst in wurkferbining aktyf is, en dat is belied en gjin technyk. Lês dat belied foardat jo in firewall útskeakelje om in rânedapparaat wurkje te litten.

Kontrolearje wat eins harket

Sjoch nei de sockets en net nei de ynstellingsside, om't de side de bedoeling beskriuwt en de sockettabel de masine. De twa listen hjirûnder skiede elke harkende socket fan dy't in buorman berikke koe. Rin se op it net fertroubere segmint foardat jo de tunnel ferbine.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

It earste kommando lit elke socket sjen, en it twadde filteret nei dy't bûten loopback bûn binne. In tsjinst op 0.0.0.0 of :: is op elk ynterface beskikber, ek op 'e draadleaze, wylst deselde tsjinst op 127.0.0.1 hielendal net fan it segmint berikber is. De resolver-fraach befêstiget hokker paad de namme nimt foardat de tunnel bestiet, en dêr bemuoie finzene portalen har. Werhelje de list nei it ferbinen, om't guon kliïnten ynterfaces omheech bringe dy't it antwurd feroarje.

In poarte dy't allinne ferskynt wylst de tunnel oer ein is, is minder bleatsteld, al is it noch hieltyd goed om fan te witten. Skriuw it ferskil op en net de absolute list, om't de delta is wat de tunnel tafoege.

Akseptearje gjin nije identiteit midden yn 'e sesje

In ûnferwachtse rûteferoaring, in werferbining of in portaalomlieding is gjin tastimming om in oare serveridentiteit te akseptearjen. As de klient in sertifikaat- of kaaiôfwiking meldt, behannelje it as in identiteitsbefining en net as ferbining dy't omgien wurde moat. It ynstallearjen fan in ûnferklearre woartelsertifikaat om in portaal wurkje te litten, feroaret in leveringsprobleem yn in fertrouwensprobleem. It fertrouwensprobleem oerlibbet dan de reis dy't it makke hat.

Brûk de eigen browserstream fan it portaal, ferbin dan de tunnel wer en lês it kliïntloch foar de identiteit dy't er ferifiearre hat. Identiteitsflater betsjut dat de tsjinpartij net is wa't jo ferwachten, wylst leveringsflater betsjut dat de tsjinpartij nea antwurde. It earste is in reden om te stopjen, en it twadde is in reden om in oar paad te besykjen.

Bepaal earst it gedrach by in ûnderbrekking

Hjir wurde twa ferskillende funksjes trochinoar helle. Werferbining besiket de tsjinst te herstellen, wylst in blokkearbelied regelet hokker ferkear tastien is wylst de tunnel del is. Gjin fan beide leveret in wurkjende draadleaze keppeling, en gjin fan beide bewiist dat it einpunt skjin is. Kies eksplisyt: sletten flater foar tapassings dy't nea it lokale paad brûke meie, en lit gewoan browsen bûten de tunnel ta as dat akseptabel is.

Skriuw de kar op, om't de standert yn 'e measte kliïnten gjin fan beide is, en hy ferskilt per ferzje. Regel dan in alternative tagongspaad as beskikberens fan belang is, lykas in telefoanhotspot mei syn eigen dataplan. In akseptabele akseptaasjetest hat trije aparte útkomsten: bedoeld ferkear brûkt de ferifiearre tunnel, net-relatearre lokale harkers binne ûnberikber, en in ûnderbrekking produsearret it gedrach dat jo keazen hawwe.

Relatearre artikelen