Dijeljeni VPN račun: ograničenje uređaja nije izolacija klijenata

Osam istodobnih veza broj je sa stranice licence i ne govori ništa o tome što tih osam uređaja može učiniti jedan drugome. Dijeljena prijava može postojati uz ključeve po sesiji, a može i uz pristupnik koji rado prosljeđuje promet jednog klijenta drugome. Pogrešno je držati račun sigurnosnom granicom. Umjesto toga postavite četiri odvojena pitanja: što je kupljeno, što štiti tunel, što smije prijeći između parova i što može srušiti lokalnu vezu.

Što dopuštenje za veze doista obećava

Ograničenje uređaja broji koliko će sesija pružatelj prihvatiti za jednu pretplatu. To je trgovačka i operativna kontrola, a ne izjava o identitetu ili izolaciji. Neki pružatelji izdaju zasebnu potvrdu za svaki uređaj pod jednim računom; drugi iznova rabe jednu vjerodajnicu za svaku vezu. Razlika se vidi pri opozivu, jer odvojene vjerodajnice omogućuju da odsiječete jedan uređaj, dok vam dijeljena ne ostavlja tu mogućnost.

Pročitajte kako pružatelj izdaje vjerodajnice prije nego što pretpostavite bilo što o razdvajanju ključeva. Sam naziv računa ne otkriva ništa od toga.

Provjerite prosljeđuje li pristupnik između klijenata

Dostupnost između parova odluka je na strani poslužitelja. Na OpenVPN odgovarajuća sklopka izostaje osim ako se pojavi u konfiguraciji, no suvremeno rasterećenje podatkovne razine mijenja gdje se pravilo primjenjuje.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfiguracija bez te direktive ostavlja promet između parova host vatrozidu, koji ga još može dopustiti. Kad je rasterećenje aktivno, tunelskim sučeljem upravlja jezgra umjesto procesa u korisničkom prostoru, zato provjerite brojače pravila umjesto da vjerujete datoteci. Blokiranje proslijeđenog prometa između adresa tunela izolira klijente ne dirajući njihov pristup pristupniku. Potvrdite to sondom s jednog klijenta prema usluzi na drugome, i prije i poslije pravila.

Zaštitite sesiju prije parova

Zaštita tunela i pristup parova različita su svojstva, a jaka šifra ne znači izolaciju. U TLS načinu svaki klijent izvodi vlastite sesijske ključeve, pa jedan klijent ne može čitati promet drugoga čak i kad ga pristupnik prenosi. Stari raspored sa statičkim ključem dijeli jedan ključ među svima, zato ponovna uporaba prijave ondje ima mnogo gore posljedice. Pregledajte konfigurirani način, a ne marketinšku stranicu, pa procijenite odgovara li dijeljenje računa dotičnim podacima.

Autentikacija usluge na svakom hostu i dalje je važna, jer tunel dokazuje samo da je klijent stigao do mreže, ne da treba stići do određenog demona.

Lokalni Wi-Fi kvarovi nisu kompromitiranje VPN-a

Prekinuta veza dokazuje da je lokalna karika otkazala, a ne da je netko razbio tunel. Smetnje, izgubljen DHCP zakup i prijelaz pri roamingu prekidaju sesiju ne dirajući vjerodajnice ni šifrirani tekst. Tretirajte prekid kao nalaz o dostupnosti i držite ga odvojeno od nalaza o povjerljivosti i pristupu parova. Gdje lokalna mreža nije pouzdana, štitite promet od kraja do kraja umjesto da se oslanjate samo na tunel.

Zapišite četiri odgovora: dopuštenje, model ključeva, politika prema parovima i ovisnost o lokalnoj vezi. Taj zapis pretvara nejasnu brigu o dijeljenom računu u konkretne kontrole.