Egy VPN-bejelentkezés megosztott számítógépen: ki más kapja az útvonalat?
A VPN-bejelentkezés egy személyt hitelesít; a telepített útvonal más hatókör. Hasonlítsa össze a gazdagép-szintű, felhasználónkénti és alkalmazásonkénti alagutakat egy megosztott gépen.
Egy munkaállomás megosztása olyan kérdést vet fel, amelyre az egyszemélyes hordozható számítógépnek soha nem kell válaszolnia: miután egy személy hitelesíti az alagutat, ki más használhatja? A bejelentkezés egy szubjektumot azonosít, és a telepített útvonal egy hatókört ír le, és ez a két dolog nem ugyanaz az objektum. Közöttük van az operációs rendszer, a kliens konfigurációja és az, amit a privát szolgáltatás magától megkövetel. A kényszerítési pontok összehasonlítása az egyetlen módja annak, hogy találgatás nélkül válaszoljunk a kérdésre.
Egy bejelentkezés, több hatókör
A hitelesítés arra válaszol, kit engedtek be. Az útvonal arra válaszol, mely csomagok hagyhatják el az alagutat. Az engedélyezés arra válaszol, melyik szolgáltatás fogadja el a létrejövő kapcsolatot, és a három közül egyik sem feltételezi a következőt.
A gazdagép-szintű alagút a szokásos alapértelmezés, és nyilvánvalóvá teszi a rést. Az útvonal a kernel táblájában ül, így minden folyamat, amely azt a táblát használja, elérheti a privát hálózatot, beleértve azt is, amelyet olyan felhasználó indított, aki soha nem látta a VPN párbeszédablakot. Ez nem hiba az alagútban; ezt jelenti a rendszerszintű útvonal. A privát szolgáltatás továbbra is elutasíthatja a kapcsolatot, ezért az elérhetőségnek és az engedélynek külön válasz kell.
A négy kérdés felírása a tesztelés előtt megakadályozza, hogy az áttekintés egyikükre szűküljön.
Hol van valójában a határ
Négy elrendezés fedi a legtöbb gépet: gazdagép-szintű alagút, felhasználónkénti kapcsolat, alkalmazásonkénti engedélyezési lista és külön hálózati névtér vagy virtuális gép.
Mindegyik máshová teszi a kényszerítési pontot, és a különbségek fontosabbak a címkéknél. A felhasználónkénti kapcsolatot a profil engedélyei érvényesítik, nem az asztali bejelentkező képernyő. Az alkalmazásonkénti engedélyezési listát a kliens érvényesíti, amely eldönti, mit szállít. A névtér vagy a VM az interfész határán érvényesít, így a benne lévő folyamat egyáltalán nem látja a gazdagép útvonalát. A gépen lévő bejelentkező képernyők száma semmit sem mond egyikükről sem.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
A tábla soronkénti olvasása megmutatja, hogy a valódi kérdés nem az, létezik-e elkülönítés, hanem hogy hol valósul meg.
Hasonlítson össze négy kényszerítési pontot
Linuxon az útvonal-tábla az első, amit meg kell vizsgálni, mert a gazdagép-szintű alagút ott jelenik meg, a névtér pedig nem. A keresés futtatása második felhasználóként az a lépés, amelyet az emberek kihagynak; a válasz eltér attól, amelyet önmagukként kaptak, és ez magyarázza a jelentést.
A következő két ellenőrzés a szabályzatra néz, nem az útválasztásra. Az UID-hoz illeszkedő tűzfal-szabály a helyben előállított forgalomra vonatkozik, így két felhasználót is szétválaszthat egy gazdagépen, még akkor is, ha mindketten megosztják az útvonalat. Az egyértelmű engedélylistával rendelkező kapcsolatprofilt aktiváláskor a hálózatkezelő érvényesíti. Egyik ellenőrzés sem igényli az alagút megváltoztatását, ezért érdemes őket elvégezni bármilyen újratervezés előtt.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidHa a második keresés az alagút útvonalát mutatja, a határ nem ott van, ahol a tervezés feltételezte.
Az egyidejű munkamenetek szabályai külön vezérlés
Az átjárók gyakran korlátozzák, hány munkamenetet tarthat egy fiók, és ennek a korlátnak semmi köze a helyi felhasználókhoz. A fiókot korlátozza, így egy második személy, aki ugyanazzal a hitelesítő adattal jelentkezik be, megszakíthatja az első személy alagútját.
Olvassa el a hibát, mielőtt helyi elkülönítési problémát feltételezne. A munkamenet-korlát megszakítást okoz az átjárónál, míg a hatókör-probléma működő alagutat eredményez, amely egyszerűen nem szállítja a másik felhasználó forgalmát. Ez a két tünet teljesen eltérő javításokhoz vezet. Őrizze meg a kliens pontos üzenetét, mert az általában megnevezi a szabályt. Kérje a profil tulajdonosától a jóváhagyott munkafolyamatot, ahelyett hogy megkerülné a korlátot.
A virtuális gép senkit nem mentesít e szabály alól, és saját hálózati és hitelesítő adat-tervezést ad hozzá.
Tesztelje azt a környezetet, amely fontos önnek
Tesztelje a szándékolt felhasználót és alkalmazást, majd teszteljen egy környezetet, amelyet el kellene utasítani. Az az áttekintés, amely csak azt bizonyítja, hogy az eredeti jelszó működik, a hitelesítést tesztelte és semmi mást.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Jegyezze fel a kényszerítési pontot minden eredmény mellé: az útvonal-táblát, egy UID-szabályt, egy profilengedélyt vagy az átjáró munkamenet-szabályzatát. Ez a feljegyzés teszi ellenőrizhetővé a következő változtatást. Azt is megakadályozza, hogy ugyanaz a kérdés újra megnyíljon minden alkalommal, amikor valaki észrevesz egy második bejelentkező képernyőt. Az elérhetőség nem engedélyezés, és egyik sem elkülönítés.