શેર કરેલા પીસી પર એક VPN લોગિન: રૂટ બીજું કોણ મેળવે છે?
VPN લોગિન એક વ્યક્તિને પ્રમાણિત કરે છે; તે જે રૂટ ઇન્સ્ટોલ કરે છે તે અલગ વ્યાપ છે. શેર કરેલા મશીન પર હોસ્ટ-વ્યાપી, પ્રતિ-વપરાશકર્તા અને પ્રતિ-એપ ટનલની સરખામણી કરો.
વર્કસ્ટેશન શેર કરવાથી એક પ્રશ્ન ઊભો થાય છે જેનો જવાબ સિંગલ-યુઝર લેપટોપને ક્યારેય આપવો પડતો નથી: એક વ્યક્તિ ટનલને પ્રમાણિત કરે પછી બીજું કોણ તેનો ઉપયોગ કરી શકે? લોગિન એક વિષયને ઓળખે છે, અને તે જે રૂટ ઇન્સ્ટોલ કરે છે તે વ્યાપનું વર્ણન કરે છે, અને આ બે વસ્તુઓ એક જ ઑબ્જેક્ટ નથી. તેમની વચ્ચે ઑપરેટિંગ સિસ્ટમ, ક્લાયન્ટનું કૉન્ફિગરેશન અને ખાનગી સેવા પોતે જે માંગે છે તે આવે છે. અંદાજ લગાવ્યા વિના પ્રશ્નનો જવાબ આપવાનો એકમાત્ર રસ્તો અમલીકરણ બિંદુઓની સરખામણી કરવી છે.
એક લોગિન, ઘણા વ્યાપ
પ્રમાણીકરણ જવાબ આપે છે કોને પ્રવેશ આપ્યો. રૂટ જવાબ આપે છે કયા પેકેટ ટનલમાંથી બહાર જઈ શકે. અધિકૃતિ જવાબ આપે છે કઈ સેવા પરિણામી જોડાણ સ્વીકારશે, અને ત્રણમાંથી કોઈ પણ આગલાને સૂચિત કરતું નથી.
હોસ્ટ-વ્યાપી ટનલ સામાન્ય ડિફૉલ્ટ છે, અને તે ખાલી જગ્યાને સ્પષ્ટ કરે છે. રૂટ કર્નલના ટેબલમાં બેસે છે, તેથી તે ટેબલ વાપરતી દરેક પ્રક્રિયા ખાનગી નેટવર્ક સુધી પહોંચી શકે છે, તે પણ સમાવેશે જે VPN સંવાદ ક્યારેય જોયો ન હોય તેવા વપરાશકર્તાએ શરૂ કરી છે. આ ટનલમાં ખામી નથી; સિસ્ટમ-વ્યાપી રૂટનો અર્થ આ જ છે. ખાનગી સેવા હજી પણ જોડાણ નકારી શકે છે, અને તેથી જ પહોંચતા અને પરવાનગીને અલગ જવાબોની જરૂર છે.
પરીક્ષણ પહેલાં ચાર પ્રશ્નો લખી લેવાથી સમીક્ષા તેમાંથી એકમાં સમેટાઈ જવાથી અટકે છે.
સીમા ખરેખર ક્યાં છે
ચાર ગોઠવણીઓ મોટાભાગનાં મશીનોને આવરી લે છે: હોસ્ટ-વ્યાપી ટનલ, પ્રતિ-વપરાશકર્તા જોડાણ, પ્રતિ-એપ્લિકેશન મંજૂરી યાદી અને અલગ નેટવર્ક નામસ્થાન અથવા વર્ચ્યુઅલ મશીન.
દરેક અમલીકરણ બિંદુને બીજે મૂકે છે, અને લેબલ કરતાં તફાવત વધુ મહત્ત્વના છે. પ્રતિ-વપરાશકર્તા જોડાણ પ્રોફાઇલની પરવાનગીઓથી લાગુ થાય છે, ડેસ્કટૉપના લોગિન સ્ક્રીનથી નહીં. પ્રતિ-એપ મંજૂરી યાદી ક્લાયન્ટની અંદર લાગુ થાય છે, જે નક્કી કરે છે તે શું વહન કરશે. નામસ્થાન કે VM ઇન્ટરફેસ સીમા પર લાગુ કરે છે, તેથી અંદરની પ્રક્રિયા હોસ્ટનો રૂટ જોઈ શકતી નથી. મશીન પરના લોગિન સ્ક્રીનની સંખ્યા તેમાંથી કોઈ વિશે કંઈ કહેતી નથી.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
ટેબલને પંક્તિ પંક્તિ વાંચવાથી દેખાય છે કે સાચો પ્રશ્ન અલગીકરણ છે કે નહીં તે નથી, પણ તે ક્યાં અમલમાં મૂકાયું છે તે છે.
ચાર અમલીકરણ બિંદુઓની સરખામણી કરો
Linux પર રૂટ ટેબલ પહેલું જોવાની વસ્તુ છે, કારણ કે હોસ્ટ-વ્યાપી ટનલ ત્યાં દેખાય છે અને નામસ્થાન નહીં. બીજા વપરાશકર્તા તરીકે લુકઅપ ચલાવવો એ પગલું છે જે લોકો છોડી દે છે; જવાબ તેઓએ પોતાના તરીકે મેળવેલા જવાબથી અલગ હોય છે, અને તે જ રિપોર્ટ સમજાવે છે.
પછીની બે તપાસ રાઉટિંગને બદલે નીતિ તરફ જુએ છે. UID સાથે મેળ ખાતો ફાયરવૉલ નિયમ સ્થાનિક રીતે ઉત્પન્ન થયેલા ટ્રાફિકને લાગુ પડે છે, તેથી તે એક હોસ્ટ પરના બે વપરાશકર્તાઓને અલગ કરી શકે છે, જ્યારે બંને રૂટ શેર કરતા હોય ત્યારે પણ. સ્પષ્ટ પરવાનગી યાદીવાળી જોડાણ પ્રોફાઇલ સક્રિયકરણ વખતે નેટવર્ક મેનેજર દ્વારા લાગુ થાય છે. કોઈ પણ તપાસને ટનલ બદલવાની જરૂર પડતી નથી, અને તેથી કંઈ પણ ફરીથી ડિઝાઇન કરતાં પહેલાં તે કરવા યોગ્ય છે.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidજો બીજું લુકઅપ ટનલનો રૂટ દેખાડે, તો સીમા ત્યાં નથી જ્યાં ડિઝાઇને ધાર્યું હતું.
સમવર્તી-સત્ર નિયમો અલગ નિયંત્રણ છે
ગેટવે ઘણી વાર મર્યાદિત કરે છે કે એક ખાતું કેટલાં સત્ર રાખી શકે, અને તે મર્યાદાનો સ્થાનિક વપરાશકર્તાઓ સાથે કોઈ સંબંધ નથી. તે ખાતાને મર્યાદિત કરે છે, તેથી સમાન ઓળખપત્ર સાથે સાઇન ઇન થતી બીજી વ્યક્તિ પ્રથમ વ્યક્તિની ટનલ સમાપ્ત કરી શકે છે.
સ્થાનિક અલગીકરણની સમસ્યા ધારતા પહેલાં નિષ્ફળતા વાંચો. સત્ર મર્યાદા ગેટવે પર જોડાણ તૂટવાનું ઉત્પન્ન કરે છે, જ્યારે વ્યાપની સમસ્યા કાર્યરત ટનલ ઉત્પન્ન કરે છે જે ફક્ત બીજા વપરાશકર્તાનો ટ્રાફિક વહન કરતી નથી. આ બે લક્ષણો સંપૂર્ણપણે અલગ સુધારણા તરફ દોરે છે. ક્લાયન્ટનો ચોક્કસ સંદેશ રાખો, કારણ કે તે સામાન્ય રીતે નિયમનું નામ આપે છે. મર્યાદાને ટાળવાને બદલે પ્રોફાઇલ માલિકને મંજૂર કાર્યપ્રવાહ માટે પૂછો.
વર્ચ્યુઅલ મશીન કોઈને તે નિયમમાંથી મુક્ત કરતું નથી, અને તે પોતાનું નેટવર્ક અને ઓળખપત્ર ડિઝાઇન ઉમેરે છે.
તમને જે સંદર્ભ મહત્ત્વનો છે તેનું પરીક્ષણ કરો
ઇચ્છિત વપરાશકર્તા અને એપ્લિકેશનનું પરીક્ષણ કરો, પછી એવા સંદર્ભનું જે નકારાવો જોઈએ. જે સમીક્ષા ફક્ત એ સાબિત કરે છે કે મૂળ પાસવર્ડ કામ કરે છે, તેણે પ્રમાણીકરણનું પરીક્ષણ કર્યું છે અને બીજું કંઈ નહીં.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'દરેક પરિણામની બાજુમાં અમલીકરણ બિંદુ નોંધો: રૂટ ટેબલ, UID નિયમ, પ્રોફાઇલ પરવાનગી અથવા ગેટવેની સત્ર નીતિ. તે નોંધ આગલા ફેરફારને સમીક્ષાયોગ્ય બનાવે છે. તે દર વખતે કોઈ બીજું લોગિન સ્ક્રીન જુએ ત્યારે એ જ પ્રશ્ન ફરી ખૂલતો પણ અટકાવે છે. પહોંચતા એ અધિકૃતિ નથી, અને બંનેથી કોઈ અલગીકરણ નથી.