Is trí theorainn ar leith é VPN neamhiontaofa, ní ceann amháin

Is gnách gur trí ráiteas iad «Ní thugaim muinín don VPN seo» atá gléasta in aon abairt amháin. D’fhéadfadh piaraí cianda ar an líonra sin teacht ar sheirbhísí ar do óstach, d’fhéadfadh an t-oibreoir a ritheann an tollán breathnú ar thrácht a théann tríd, agus d’fhéadfadh na bogearraí cliaint atá suiteáilte agat polasaí líonra do mheaisín a athrú. Is é an creideamh is fiú a cheartú go bhfreagraíonn riail bhalla dóite, meaisín fíorúil nó rogha chúramach córais oibriúcháin do na trí cinn. Freagraíonn gach beart don cheann acu go beacht.

An miotas: clúdaíonn aon rialú an riosca iomlán

Is é an toimhde choitianta gur aon chinneadh amháin le haon mhaolú amháin é dul isteach i líonra neamhiontaofa. Roghnaíonn daoine an rialú a bhfuil muinín acu as cheana, cuireann i bhfeidhm é agus measann siad an riosca a bheith socraithe: tá an balla dóite ar siúl, tá an spás oibre indiúscartha, tháinig an cliant ó dhíoltóir measúil.

Ní tharlaíonn forluí idir na rialtáin sin mar a thugann an toimhde le tuiscint. Cuireann balla dóite óstaigh teorainn leis an méid a fhéadann piara cianda a bhaint amach, agus ní dhéanann sé aon rud faoi oibreoir a chríochnaíonn do TLS. Scarann meaisín fíorúil spás oibre ó chomhaid do óstaigh, agus ní dhéanann sé aon rud faoi chomhpháirt cliaint a bhfuil cead aici an chruach líonra faoin dá cheann a athchumrú. Is é an cleachtadh iomlán an teorainn a chruthaíonn gach rialú a ainmniú.

Insíonn a scaradh duit freisin cén riosca ar roghnaigh tú glacadh leis. Maolaíonn formhór na gcinntí fíora teorainn amháin agus fulangaíonn siad ceann eile, rud atá ceart chomh fada agus a deir an taifead athraithe cé acu ceann.

Cad is féidir leis an bpiara cianda a bhaint amach i ndáiríre

Tosaigh le seirbhísí atá ag éisteacht. Is é an comhéadan tolláin a ndéantar caitheamh leis mar rud iontaofa go forleathan toisc gur tháinig a phaicéid chriptithe an gnáthmheancóg, agus déanann sé sprioc fhéideartha de gach éisteoir áitiúil do gach duine eile ar an líonra sin. Cosnaíonn criptiú an sreang idir dhá fhoirceann; ní deir sé aon rud faoi rún an phiara ag an taobh eile.

ss -tulpn
sudo nft list ruleset
ip -br addr

Ceangail seirbhísí leis an seoladh a theastaíonn uathu seachas le gach comhéadan, agus ná ceadaigh ach na hoibríochtaí a éilíonn an tasc ceadaithe. Coinnigh seachadadh, droicheadú agus seachfhreastalaí feidhmchlár sainráite, mar ní chruthaíonn dhá cheangal líonra conair idirthurais as a stuaim féin, ach is féidir le riail seachfhreastalaí go cinnte.

Laghdaíonn spás oibre indiúscartha ceadaithe an méid a fhéadann an líonra cianda a bhaint amach, ach amháin nuair a thagann a chumraíocht roinnte leis an ráiteas. Trasnaíonn fillteáin roinnte, comhtháthú gearrthaisce, gníomhairí dintiúir agus bealaí bainistíochta go léir an teorainn a bhí le cruthú ag an spás oibre. Ní chruthaíonn lipéad spáis oibre aon rud faoi cé acu díobh atá oscailte.

Luann ailtireacht nialas-iontaobh NIST an prionsabal atá taobh thiar de seo go léir: ní thugann suíomh líonra amháin iontaoibh intuigthe. Tá jab ag fíordheimhniú acmhainne fós tar éis an tollán a ligean isteach, agus tá ag an gceist faoi cé eile a roinneann an líonra sin freisin.

Cad is féidir leis an oibreoir sa chonair a fheiceáil

Bogann VPN do thrácht go háit eile ar an gconair; ní chuireann sé criptiú feidhmchláir leis. Má chríochnaíonn an soláthraí do TLS, féadann an soláthraí an méid a chosnódh do bhrabhsálaí a léamh, agus ní athraíonn aon riail bhalla dóite áitiúil é sin.

Coinnigh gnáthbhailíochtú teastas don cheann scríbe fíor agus tuig conair an réititheora agus na meiteashonraí, mar is féidir le fiosrúchán DNS níos mó a nochtadh ná an t-ualach a théann roimhe. Na meiteashonraí amháin, is é sin cé na seoltaí ar theagmhaigh tú leo agus cathain, freagraíonn siad go minic ceist an oibreora gan aon ghá ábhar a léamh. Sin é an fáth gur ráitis éagsúla iad «tá an trácht criptithe» agus «tá an trácht príobháideach».

Má tá an infheictheacht sin do-ghlactha don tasc, is é an freagra ailtireacht cheadaithe eile seachas níos mó scagtha áitiúil. Ní féidir le scagadh áitiúil breathnóir a bhaint de chonair a bhfuil sé fós ina shuí uirthi.

Cad atá ceadaithe don chliant áitiúil a athrú

Seo an teorainn a chailleann daoine, agus is í an ceann a fhágann an dá cheann eile gan bhunús. Ar Linux clúdaíonn CAP_NET_ADMIN cumraíocht comhéadain, riarachán balla dóite agus athruithe bealaigh laistigh dá chomhthéacs líonra. Is féidir le bogearraí a bhfuil an cumas sin acu an polasaí a scríobh tú díreach a athscríobh.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Is teorainn fhíor é spás ainmneacha líonra do staid líonra agus ceann lag do gach rud eile: ní dhéanann sé an córas comhad ná an stór dintiúir a leithlisiú. Caith leis mar shraith amháin seachas mar choimeádán don fhadhb iomlán.

Faigh an cliant agus a chumraíocht ó fhoinse chothaithe, déan athbhreithniú ar an údarás a iarrann sé, agus coinnigh comhpháirteanna pribhléideacha faoi rialú riarthóra. Is féidir le meaisín fíorúil a bheith mar chuid de theorainn mheasúnaithe cháilithe gan éirí ina chead chun suiteálaí gan mhíniú a rith in aice le dintiúir luachmhara. Ritheann an suiteálaí le cibé údarás a thugann tú dó, agus is é an t-údarás sin an teorainn.

Scríobh síos cén teorainn a ghlac tú léi

Críochnaigh le habairt a ainmníonn ceithre rud: an cód áitiúil iontaofa, an rochtain chianda cheadaithe, sonraí feidhmchláir cosanta agus an gaol oibreora a fhanann. Is fiú an abairt sin níos mó ná ráiteas ginearálta gur rinne VM, córas oibriúcháin nó táirge frithvíris líonra naimhdeach slán.

Ansin dearbhaigh go n-oibríonn an oibríocht chúng agus go seasann an diúltú riachtanach fós, fiú tar éis don tollán titim. Ní hé an teorainn a dhoiciméadaigh tú teorainn nach bhfuil ann ach fad a bhíonn an tollán suas.

Ní chruthaíonn aon tástáil nach bhfuil gach leochaileacht as láthair, agus déanann athbhreithniú a mhaíonn a mhalairt rómhaíomh. Ainmníonn an t-aschur macánta an riosca iarmharach agus an duine a ghlac leis.