Wi-Fi ציבורי ו-VPN: מה המנהרה לא מכסה

תג ירוק, פורטל מרוצה, דפדפן עובד: זה כל הסיפור הגלוי. מה שהתג משמיט הוא שהחיבור המוצפן נישא בדיוק בקישור האלחוטי שאמור להגן עליך ממנו. הקישור הזה עדיין מוסר כל מנה, עדיין רואה את כתובת היעד ועדיין מחליט אם משהו בכלל יגיע. בחינת צד המחשב הנייד בחיבור מלון מראה אילו חלקים המנהרה מכסה ואילו משאירה לך.

קישור הגישה נושא הכול

מנהרת IPsec ESP עוטפת מנה פנימית מוגנת בכותרת חיצונית שהרשת יכולה לנתב, כפי שמסביר RFC 4303 סעיף 3.1.2 את הפיצול הזה. המנה הפנימית היא מה שהמנהרה מגנה עליו. הכותרת החיצונית היא מה שהנקודה החמה קוראת כדי להעביר אותה הלאה. עיצובים אחרים עוטפים אחרת, אך שאלת התכנון זהה: איזה נתיב גישה נושא את החיבור הזה?

כשל בשער או קישור שמפיל מנות עוצר את המסירה בלי לחשוף תוכן. מעבר לצופן חזק יותר לא עוזר לכך, כי החלק החסר הוא תעבורה ולא הצפנה. מסירה מוצלחת מוכיחה באותה מידה מעט בכיוון השני, שכן נתיב שעובד אינו אומר דבר על מצבו של אף אחד משני המחשבים.

למחשב הנייד שלך עדיין יש דלתות משלו

הצטרפות למקטע לא מהימן משנה מי יכול להגיע לפורטים שהמחשב שלך מאזין עליהם. שירות שיתוף קבצים, סוכן ניהול מרחוק או שרת פיתוח המחובר לכל הממשקים נגיש לכל אחד במקטע הזה אלא אם משהו עוצר אותו. תעבורה שלעולם לא נכנסת למנהרה אינה מוגנת על ידה. מאזין שעונה לפני שהמנהרה עולה חשוף בדיוק לחלון הזה.

הדרישה צרה וכדאי לנסח אותה במדויק: המחשב הנייד חייב להגיע לנקודת הקצה של ה-VPN, והתקנים לא קשורים בנקודה החמה לא חייבים להגיע לשירותים מקומיים. כללי חומת האש של המארח מבטאים את הגבול הזה, והגדרות השיתוף של הפלטפורמה עצמה מבטאות גם הן חלק ממנו. מדפסת או שלב בפורטל היא חריגה מוגבלת שאתה מוסיף בכוונה, לא הוכחה שכל הנקודה החמה ראויה לאמון של רשת משרדית.

ארגונים מסוימים מגבילים גם גישה מקומית בזמן שחיבור עבודה פעיל, וזו מדיניות ולא הנדסה. קרא את המדיניות הזו לפני שאתה מכבה חומת אש כדי להתקן היקפי יעבוד.

בדוק מה באמת מאזין

הסתכל על השקעים ולא על דף ההגדרות, כי הדף מתאר כוונה וטבלת השקעים מתארת את המחשב. שתי הרשימות שלמטה מפרידות כל שקע מאזין מאלה ששכן יכול להגיע אליהם. הרץ אותן במקטע הלא מהימן לפני חיבור המנהרה.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

הפקודה הראשונה מציגה כל שקע, והשנייה מסננת לאלה המחוברים מעבר ל-loopback. שירות על 0.0.0.0 או :: זמין בכל ממשק, כולל האלחוטי, בעוד אותו שירות על 127.0.0.1 אינו נגיש מהמקטע כלל. שאילתת הפותר מאשרת איזה נתיב השם תופס לפני שהמנהרה קיימת, ושם מתערבים פורטלים לכודים. חזור על הרשימה לאחר החיבור, כי חלק מהלקוחות מעלים ממשקים שמשנים את התשובה.

פורט שמופיע רק כשהמנהרה עולה חשוף פחות, אף שעדיין כדאי לדעת עליו. רשום את ההבדל ולא את הרשימה המוחלטת, כי הדלתא היא מה שהמנהרה הוסיפה.

אל תקבל זהות חדשה באמצע הסשן

שינוי נתיב בלתי צפוי, התחברות מחדש או הפניה מחדש של פורטל אינם רשות לקבל זהות שרת אחרת. אם הלקוח מדווח על אי התאמה בתעודה או במפתח, התייחס לכך כממצא זהות ולא כאל קישוריות שצריך לעקוף. התקנת תעודת שורש לא מוסברת כדי שהפורטל יעבוד הופכת בעיית מסירה לבעיית אמון. ואז בעיית האמון שורדת יותר מהמסע שיצר אותה.

השתמש בזרימת הדפדפן של הפורטל עצמו, ואז חבר מחדש את המנהרה וקרא ביומן הלקוח איזו זהות הוא אימת. כשל זהות פירושו שהצד השני אינו מי שציפית לו, בעוד כשל מסירה פירושו שהצד השני לא ענה מעולם. הראשון הוא סיבה לעצור, והשני סיבה לנסות נתיב אחר.

החלט תחילה על התנהגות בזמן נפילה

שני מאפיינים שונים מתבלבלים כאן. התחברות מחדש מנסה לשחזר את השירות, בעוד מדיניות חסימה קובעת איזו תעבורה מותרת כשהמנהרה למטה. אף אחד מהם לא מספק קישור אלחוטי עובד, ואף אחד מהם לא מוכיח שנקודת הקצה נקייה. בחר במפורש: כשל סגור ליישומים שאסור להם להשתמש בנתיב המקומי, ואפשר גלישה רגילה מחוץ למנהרה אם זה מקובל.

רשום את הבחירה, כי ברירת המחדל ברוב הלקוחות אינה אף אחד מהשניים, והיא משתנה לפי גרסה. אחר כך סדר נתיב גישה חלופי אם הזמינות חשובה, כמו נקודה חמה של טלפון עם תוכנית נתונים משלו. לבדיקת קבלה סבירה יש שלוש תוצאות נפרדות: התעבורה המיועדת משתמשת במנהרה המאומתת, מאזינים מקומיים לא קשורים אינם נגישים, ונפילה מייצרת את ההתנהגות שבחרת.