Javni Wi-Fi i VPN: što tunel ne pokriva

Zelena značka, zadovoljan portal, radni preglednik: to je cijela vidljiva priča. Značka prešućuje da šifriranu vezu nosi upravo bežična veza od koje bi trebala zaštititi vas. Ta veza i dalje dostavlja svaki paket, i dalje vidi adresu odredišta i i dalje odlučuje hoće li išta uopće stići. Pregled računalne strane hotelske veze pokazuje koje dijelove tunel pokriva, a koje ostavlja vama.

Pristupna veza nosi sve

IPsec ESP tunel umotava zaštićeni unutarnji paket u vanjski zaglavlje koje mreža može usmjeriti, a RFC 4303 odjeljak 3.1.2 objašnjava tu podjelu. Unutarnji paket je ono što tunel štiti. Vanjsko zaglavlje je ono što hotspot čita da bi ga proslijedio. Drugi dizajni enkapsuliraju drukčije, ali pitanje planiranja je isto: koja pristupna putanja nosi ovu vezu?

Kvar pristupnika ili veza koja gubi pakete zaustavlja dostavu bez otkrivanja sadržaja. Prelazak na jaču šifru tu ne pomaže, jer dio koji nedostaje je transport, a ne kriptografija. Uspješna dostava jednako malo dokazuje u drugom smjeru, jer radna putanja ne govori ništa o stanju nijednog od dva računala.

Vaš laptop i dalje ima svoja vrata

Pridruživanje nepouzdanom segmentu mijenja tko može doći do portova koje vaše računalo sluša. Usluga dijeljenja datoteka, agent za daljinsku administraciju ili razvojni poslužitelj vezan za sva sučelja dostupan je svakome na tom segmentu osim ako ga nešto ne zaustavi. Promet koji nikad ne uđe u tunel nije njime zaštićen. Slušatelj koji odgovori prije nego što se tunel podigne izložen je točno za taj prozor.

Zahtjev je uzak i vrijedi ga točno izreći: laptop mora doći do VPN odredišta, a nepovezani uređaji na hotspotu ne smiju doći do lokalnih usluga. Pravila host firewalla izražavaju tu granicu, a i vlastite postavke dijeljenja platforme izražavaju dio nje. Pisač ili korak portala je ograničena iznimka koju svjesno dodajete, a ne dokaz da cijeli hotspot zaslužuje povjerenje uredske LAN mreže.

Neke organizacije također ograničavaju lokalni pristup dok je radna veza aktivna, što je politika, a ne inženjering. Pročitajte tu politiku prije nego što isključite firewall da bi periferni uređaj proradio.

Provjerite što zapravo sluša

Gledajte sockete, a ne stranicu s postavkama, jer stranica opisuje namjeru, a tablica socketa opisuje računalo. Dva popisa ispod odvajaju svaki slušajući socket od onih do kojih susjed može doći. Pokrenite ih na nepouzdanom segmentu prije povezivanja tunela.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Prva komanda prikazuje svaki socket, a druga filtrira one vezane izvan loopbacka. Usluga na 0.0.0.0 ili :: dostupna je na svakom sučelju, uključujući bežični, dok ista usluga na 127.0.0.1 uopće nije dostupna sa segmenta. Upit razrješivača potvrđuje koju putanju ime zauzima prije nego što tunel postoji, i tu se otvoreni portali miješaju. Ponovite popis nakon povezivanja, jer neki klijenti podižu sučelja koja mijenjaju odgovor.

Port koji se pojavljuje samo dok je tunel podignut manje je izložen, iako je o njemu i dalje vrijedno znati. Zabilježite razliku, a ne apsolutni popis, jer je delta ono što je tunel dodao.

Ne prihvaćajte novi identitet usred sesije

Neočekivana promjena rute, ponovno povezivanje ili preusmjeravanje portala nije dozvola za prihvaćanje drugog identiteta poslužitelja. Ako klijent prijavi nepodudarnost certifikata ili ključa, tretirajte to kao nalaz o identitetu, a ne kao povezanost koju treba zaobići. Instaliranje neobjašnjenog korijenskog certifikata da bi portal proradio pretvara problem dostave u problem povjerenja. A problem povjerenja zatim nadživi putovanje koje ga je stvorilo.

Koristite vlastiti tok preglednika portala, zatim ponovo povežite tunel i pročitajte klijentski dnevnik za identitet koji je provjerio. Neuspjeh identiteta znači da sugovornik nije onaj koga ste očekivali, dok neuspjeh dostave znači da sugovornik nikad nije odgovorio. Prvo je razlog da stanete, a drugo razlog da pokušate drugu putanju.

Prvo odlučite ponašanje pri prekidu

Ovdje se brkaju dvije različite funkcije. Ponovno povezivanje pokušava vratiti uslugu, dok politika blokiranja kontrolira koji je promet dozvoljen dok je tunel pao. Ni jedno ne daje radnu bežičnu vezu, i ni jedno ne dokazuje da je odredište čisto. Odlučite eksplicitno: zatvoreni neuspjeh za aplikacije koje nikad ne smiju koristiti lokalnu putanju, i dozvolite obično pregledavanje izvan tunela ako je to prihvatljivo.

Zapišite izbor, jer zadana vrijednost u većini klijenata nije nijedno od toga i varira po verziji. Zatim uredite alternativnu pristupnu putanju ako je dostupnost važna, poput telefonskog hotspot-a s vlastitim podatkovnim planom. Prihvatljiv test prihvatanja ima tri odvojena ishoda: namjeravani promet koristi provjereni tunel, nepovezani lokalni slušatelji su nedostupni, a prekid proizvodi ponašanje koje ste odabrali.