सार्वजनिक Wi-Fi और VPN: सुरंग क्या नहीं ढकती

हरा बैज, संतुष्ट पोर्टल, चलता ब्राउज़र: यही पूरी दिखने वाली कहानी है। बैज जो छोड़ देता है वह यह है कि एन्क्रिप्टेड कनेक्शन उसी वायरलेस लिंक से ढोया जाता है जिससे उसे आपकी रक्षा करनी चाहिए। वह लिंक अब भी हर पैकेट पहुँचाता है, अब भी गंतव्य पता देखता है, और अब भी तय करता है कि कुछ पहुँचेगा भी या नहीं। होटल कनेक्शन के लैपटॉप पक्ष को देखने से पता चलता है कि सुरंग कौन से हिस्से ढकती है और कौन से आपके लिए छोड़ देती है।

पहुँच लिंक सब कुछ ढोता है

IPsec ESP सुरंग एक संरक्षित आंतरिक पैकेट को बाहरी हेडर में लपेटती है जिसे नेटवर्क रूट कर सकता है, और RFC 4303 अनुभाग 3.1.2 यह विभाजन बताता है। आंतरिक पैकेट वह है जिसकी सुरंग रक्षा करती है। बाहरी हेडर वह है जिसे होटस्पॉट आगे भेजने के लिए पढ़ता है। दूसरी रचनाएँ अलग तरह से एनकैप्सुलेट करती हैं, पर योजना का सवाल एक ही है: यह कनेक्शन कौन सा पहुँच मार्ग ढोता है?

गेटवे की विफलता या पैकेट गिराने वाला लिंक सामग्री खोले बिना डिलीवरी रोक देता है। मजबूत सिफर पर जाने से उसमें कुछ नहीं होता, क्योंकि छूटा हुआ हिस्सा क्रिप्टोग्राफी नहीं, परिवहन है। सफल डिलीवरी दूसरी दिशा में भी उतना ही कम साबित करती है, क्योंकि चलता हुआ मार्ग दोनों में से किसी मशीन की स्थिति के बारे में कुछ नहीं कहता।

आपके लैपटॉप के अब भी अपने दरवाज़े हैं

अविश्वसनीय खंड से जुड़ने पर यह बदल जाता है कि आपकी मशीन जिन पोर्टों पर सुनती है उन तक कौन पहुँच सकता है। फ़ाइल साझा सेवा, दूरस्थ प्रशासन एजेंट या सभी इंटरफ़ेस से बंधा विकास सर्वर उस खंड में किसी के भी लिए पहुँच योग्य है, जब तक कोई उसे रोके नहीं। जो ट्रैफ़िक कभी सुरंग में नहीं जाता वह उससे सुरक्षित नहीं है। सुरंग ऊपर उठने से पहले जवाब देने वाला श्रोता ठीक उसी खिड़की के लिए खुला रहता है।

आवश्यकता सीमित है और ठीक से कहने योग्य है: लैपटॉप को VPN अंतिम बिंदु तक पहुँचना चाहिए, और होटस्पॉट पर असंबंधित उपकरणों को स्थानीय सेवाओं तक नहीं पहुँचना चाहिए। होस्ट फ़ायरवॉल नियम उस सीमा को व्यक्त करते हैं, और प्लेटफ़ॉर्म की अपनी साझा सेटिंग्स भी उसका एक हिस्सा व्यक्त करती हैं। प्रिंटर या पोर्टल का कोई चरण एक सीमित अपवाद है जिसे आप जानबूझकर जोड़ते हैं, यह सबूत नहीं कि पूरा होटस्पॉट ऑफ़िस LAN के भरोसे के योग्य है।

कुछ संगठन कार्य कनेक्शन सक्रिय रहने के दौरान स्थानीय पहुँच भी सीमित करते हैं, जो नीति है न कि इंजीनियरिंग। किसी परिधीय उपकरण को चलाने के लिए फ़ायरवॉल बंद करने से पहले वह नीति पढ़ें।

जाँचें कि वास्तव में कौन सुन रहा है

सेटिंग्स पृष्ठ नहीं, सॉकेट देखें, क्योंकि पृष्ठ इरादा बताता है और सॉकेट तालिका मशीन बताती है। नीचे की दो सूचियाँ हर सुनने वाले सॉकेट को उन सॉकेट से अलग करती हैं जिन तक पड़ोसी पहुँच सकता है। सुरंग जोड़ने से पहले उन्हें अविश्वसनीय खंड पर चलाएँ।

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

पहला कमांड हर सॉकेट दिखाता है, और दूसरा loopback से आगे बंधे सॉकेट पर फ़िल्टर करता है। 0.0.0.0 या :: पर सेवा हर इंटरफ़ेस पर उपलब्ध है, वायरलेस सहित, जबकि 127.0.0.1 पर वही सेवा खंड से बिल्कुल पहुँच योग्य नहीं है। रिज़ॉल्वर क्वेरी पुष्टि करती है कि सुरंग बनने से पहले नाम कौन सा मार्ग लेता है, और वहीं कैप्टिव पोर्टल हस्तक्षेप करते हैं। जुड़ने के बाद सूची दोहराएँ, क्योंकि कुछ क्लाइंट ऐसे इंटरफ़ेस उठाते हैं जो जवाब बदल देते हैं।

केवल सुरंग चालू रहने पर दिखने वाला पोर्ट कम खुला है, फिर भी उसके बारे में जानना ठीक है। पूरी सूची नहीं, अंतर लिखें, क्योंकि डेल्टा ही वह है जो सुरंग ने जोड़ा।

सत्र के बीच में नई पहचान स्वीकार न करें

अचानक मार्ग परिवर्तन, पुनः कनेक्शन या पोर्टल रीडायरेक्ट किसी अलग सर्वर पहचान को स्वीकार करने की अनुमति नहीं है। यदि क्लाइंट प्रमाणपत्र या कुंजी के मेल न खाने की सूचना दे, तो उसे टालने योग्य कनेक्टिविटी नहीं, पहचान की खोज मानें। पोर्टल चलाने के लिए अस्पष्ट रूट प्रमाणपत्र स्थापित करना डिलीवरी की समस्या को भरोसे की समस्या में बदल देता है। फिर भरोसे की समस्या उस यात्रा से अधिक जीती है जिसने उसे बनाया।

पोर्टल के अपने ब्राउज़र प्रवाह का उपयोग करें, फिर सुरंग दोबारा जोड़ें और क्लाइंट लॉग में देखें कि उसने कौन सी पहचान सत्यापित की। पहचान विफलता का अर्थ है कि सामने वाला वह नहीं जिसकी आपको अपेक्षा थी, जबकि डिलीवरी विफलता का अर्थ है कि सामने वाले ने कभी जवाब नहीं दिया। पहली रुकने की वजह है, और दूसरी दूसरा मार्ग आज़माने की वजह है।

पहले कटौती का व्यवहार तय करें

यहाँ दो अलग विशेषताएँ मिला दी जाती हैं। पुनः कनेक्शन सेवा बहाल करने का प्रयास करता है, जबकि अवरोधक नीति नियंत्रित करती है कि सुरंग बंद रहने पर कौन सा ट्रैफ़िक अनुमत है। न कोई काम करने वाला वायरलेस लिंक देता है, न कोई साबित करता है कि अंतिम बिंदु साफ़ है। स्पष्ट चुनें: ऐसे अनुप्रयोगों के लिए बंद विफलता जिन्हें कभी स्थानीय मार्ग नहीं उपयोग करना चाहिए, और यदि स्वीकार्य हो तो सुरंग के बाहर सामान्य ब्राउज़िंग की अनुमति दें।

चुनाव लिख लें, क्योंकि अधिकांश क्लाइंट में डिफ़ॉल्ट इनमें से कोई नहीं है, और यह संस्करण के अनुसार बदलता है। फिर यदि उपलब्धता मायने रखती है तो वैकल्पिक पहुँच मार्ग की व्यवस्था करें, जैसे अपनी डेटा योजना वाला फ़ोन हॉटस्पॉट। स्वीकार्य स्वीकृति परीक्षण के तीन अलग परिणाम होते हैं: इच्छित ट्रैफ़िक सत्यापित सुरंग का उपयोग करता है, असंबंधित स्थानीय श्रोता पहुँच से बाहर हैं, और कटौती आपके चुने व्यवहार को उत्पन्न करती है।