Cén fáth a bhfuil HTTPS fós ag teastáil ar an tairseach ó VPN TAP roinnte
Déanann VPN TAP an piara a fhíordheimhniú, ní an tseirbhís taobh thiar de. Coinnigh bailíochtú ainm óstaigh ar an tairseach agus déan comharsana nach bhfuil muinín agat astu a leithlisiú.
Tá dintiúirí VPN bailí ag dhá ghléas agus roinneann siad aon chríoch Ethernet droichidithe amháin. Níl ach ceann amháin acu le freagairt don tairseach oifige, agus is féidir leis an gceann eile seoladh na tairsí a éileamh fós ar an gcríoch sin. Rinne an tollán a chuid oibre: d'fhíordheimhnigh sé an dá phiara agus chriptigh sé gach cosán chuig an bhfreastalaí. An rud nár rinne sé ná deimhniú cé acu díobh a shealbhaíonn ainm seirbhíse, agus is é an bhearna sin an chúis a bhfuil teastas bailí fós ag teastáil ón tairseach.
Cad a dhéanann an VPN a fhíordheimhniú i ndáiríre
Freagraíonn croitheadh láimhe VPN d'aon cheist amháin: cén piara a chríochnaigh an tollán seo, agus le cén t-ábhar eochrach. Baineann an freagra sin le gach piara agus gach nasc, agus ní deir sé faic faoi na seirbhísí a nochtann an piara sin ina dhiaidh sin. Ar chríoch TAP ní fiú aon seoladh amháin é an piara, mar is féidir leis aon MAC agus aon IP a thaispeáint a bhfuil an droichead sásta a fhoghlaim. Stopann an fhíordheimhniú ag deireadh an tolláin, ní ag an bhfeidhmchlár.
Deighil na trí cheist seachas iad a chónascadh in aon cheann amháin. Tá a mheicníocht féin agus a mhodh teipe féin ag gach ceann.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Is féidir le himscaradh tollán atá fíordheimhnithe go foirfe agus seirbhís atá go hiomlán neamhfhíordheimhnithe a bheith aige. Is féidir freisin teastas bailíochtaithe a bheith ar óstach a bhfuil a sheoladh dara sraith á éileamh ag piara eile, agus is é sin an fáth a mbaineann an dá rialtán leis an dearadh seachas ceann a chur in ionad an chinn eile. Is é an tábla an argóint iomlán i dtrí shraith.
Ní eolaire é ARP ar chríoch roinnte
Mapálann ARP seoladh IPv4 chuig MAC ar an nasc áitiúil agus glacann sé le freagraí ó aon duine ar an nasc sin. Ar chríoch droichidithe cheadaitheach is féidir le piara seoladh a éileamh a bhaineann le gléas eile, agus seolann an droichead frámaí chuig an té a d'fhreagair is déanaí. Ní athraíonn criptiú gach cosáin cliaint chuig an bhfreastalaí sin, mar déantar na frámaí a dhíchriptiú sula sroicheann siad an droichead. Is í an chríoch, ní an tollán, teorainn muiníne ARP.
Féach cad a d'fhoghlaim an t-óstach i ndáiríre: liostaíonn ip neigh show na mapálacha reatha agus a staid, agus is comhartha é iontráil a athraíonn idir dhá sheoladh MAC le linn ghnáthoibríochta ar fiú imscrúdú a dhéanamh air seachas neamhaird a dhéanamh de. Ar chríoch bheag shláintiúil fanann na hiontrálacha sin cobhsaí ar feadh tréimhsí fada.
Tá leithlisú piaraí agus polasaí an droichid ann go díreach don chás seo. Is é dearadh ródaithe an freagra níos fearr de ghnáth nuair nach bhfuil sa tseirbhís ach IP agus nach bhfuil aon chúis ag na gléiseanna frámaí a chéile a fheiceáil.
Coinnigh bailíochtú an teastais san áit a bhfuil an tseirbhís
Freagraíonn TLS an fheidhmchláir an cheist nach féidir leis an tollán: an í seo an tseirbhís a raibh mé ag iarraidh teacht uirthi. Seiceálann an brabhsálaí ainm an óstaigh i gcoinne an teastais, agus is é an seiceáil sin an t-aon chuid den slabhra a ainmníonn an tairseach seachas an piara.
Scrúdaigh cad a chuireann an freastalaí i láthair sula gcinneann tú go bhfuil an rabhadh cosmaideach. Priontálann openssl s_client -connect portal.example.internal:443 -servername portal.example.internal an slabhra agus ainmneacha malartacha an ábhair. Mura bhfuil an t-ainm a chlóscríobh tú ar an liosta sin, tá an rabhadh ceart agus is é an teastas an rud a chaithfear a shocrú. Má mhúintear d'úsáideoirí é a scipeáil, déantar de rialtán oibre maisiú.
Treoir droichidithe OpenVPN cur síos ar mhúnla Ethernet agus ar na roghanna polasaí timpeall air, agus is í an tagairt cheart don rud ar cheart don chríoch a cheadú. Léigh í sula scaoileann tú riail droichid, mar is é an múnla a chuireann sí síos an rud a ghlacann gach seiceáil thuas leis.
Cinneadh an ar cheart do na piaraí sin críoch a roinnt ar chor ar bith
Is é an socrú is saoire de ghnáth stopadh ag roinnt an dara sraith nuair nach bhfuil sa riachtanas ach inrochtaineacht IP. Tugann VPN ródaithe a sheoladh féin do gach cliant, baineann sé an fearann craolacháin roinnte, agus déanann sé trácht idir piaraí ina chinneadh polasaí seachas ina réamhshocrú. Ansin tá aon seoladh amháin le cosaint ag an tairseach agus aon chomharsa ann a d'fhéadfadh é a éileamh.
Má chaithfidh an chríoch fanacht, seiceáil an socrú ar thaobh an fhreastalaí a ligeann do chliaint a chéile a shroicheadh: grep -n client-to-client /etc/openvpn/server.conf. Nuair a bhíonn sé díchumasaithe, téann trácht na gcliaint tríd an bhfreastalaí agus is féidir é a scagadh ansin. Nuair a bhíonn sé cumasaithe, malartaíonn piaraí frámaí go díreach tríd an droichead, agus is iad do phointí scagtha an droichead agus balla dóiteáin an óstaigh.
Scríobh síos cé na cosaintí a bhfuil gach óstach ag brath orthu i ndáiríre: fíordheimhniú tolláin, leithlisú críche nó TLS an fheidhmchláir. Tá óstach a bhraitheann ar an trí cinn go maith. Is é an t-óstach a bhraitheann ar an gcéad cheann agus a ghlacann leis gur tháinig an dá cheann eile leis an gceann sin a sheirbheálann an t-ábhar mícheart sa deireadh.