Nyilvános Wi-Fi és VPN: mit nem fed le az alagút

Zöld jelvény, elégedett portál, működő böngésző: ez a teljes látható történet. Amit a jelvény kihagy, az az, hogy a titkosított kapcsolatot éppen az a vezeték nélküli kapcsolat hordozza, amelytől meg kellene védenie. Az a kapcsolat továbbra is kézbesít minden csomagot, továbbra is látja a célcímét, és továbbra is eldönti, hogy egyáltalán megérkezik-e valami. Egy szállodai kapcsolat laptop oldalának végigjárása megmutatja, mely részeket fedi le az alagút, és melyeket hagy rád.

A hozzáférési kapcsolat hordoz mindent

Az IPsec ESP alagút egy védett belső csomagot egy külső fejlécbe csomagol, amelyet a hálózat tud irányítani, és RFC 4303 3.1.2 szakasz ezt a felosztást fejti ki. A belső csomag az, amit az alagút véd. A külső fejléc az, amit a hotspot olvas, hogy továbbítsa. Más tervek másképp csomagolnak, de a tervezési kérdés ugyanaz: melyik hozzáférési útvonal hordozza ezt a kapcsolatot?

Az átjáró meghibásodása vagy a csomagokat elhullató kapcsolat megállítja a kézbesítést anélkül, hogy felfedné a tartalmat. Az erősebb titkosításra váltás ezen nem segít, mert a hiányzó rész a szállítás, nem a kriptográfia. A sikeres kézbesítés a másik irányban ugyanolyan keveset bizonyít, hiszen egy működő útvonal semmit nem mond a két gép állapotáról.

A laptopodnak még mindig megvannak a saját ajtói

Egy nem megbízható szegmenshez csatlakozva megváltozik, ki érheti el azokat a portokat, amelyeken a géped figyel. Egy fájlmegosztó szolgáltatás, egy távoli felügyeleti ügynök vagy egy minden interfészhez kötött fejlesztői kiszolgáló elérhető bárkinek abban a szegmensben, hacsak valami meg nem állítja. A forgalom, amely soha nem lép be az alagútba, nincs általa védve. Az a figyelő, amely még az alagút felállása előtt válaszol, pontosan arra az ablakra van kitéve.

A követelmény szűk, és érdemes pontosan megfogalmazni: a laptopnak el kell érnie a VPN végpontját, a hotspoton lévő nem kapcsolódó eszközöknek pedig nem szabad elérniük a helyi szolgáltatásokat. A gazdagép tűzfal-szabályai fejezik ki ezt a határt, és a platform saját megosztási beállításai is kifejezik egy részét. Egy nyomtató vagy egy portállépés szándékosan hozzáadott, korlátozott kivétel, nem bizonyíték arra, hogy az egész hotspot megérdemli az irodai LAN bizalmát.

Egyes szervezetek a helyi hozzáférést is korlátozzák, amíg egy munkakapcsolat aktív, ami politika, nem mérnöki munka. Olvasd el ezt a politikát, mielőtt kikapcsolsz egy tűzfalat, hogy egy periféria működjön.

Ellenőrizd, mi figyel valójában

A socketeket nézd, ne a beállítások oldalát, mert az oldal a szándékot írja le, a socket-tábla pedig a gépet. Az alábbi két lista elválasztja az összes figyelő socketet azoktól, amelyeket egy szomszéd elérhetne. Futtasd őket a nem megbízható szegmensen az alagút csatlakoztatása előtt.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Az első parancs minden socketet megmutat, a második pedig azokra szűr, amelyek a loopbacken túl vannak kötve. A 0.0.0.0 vagy :: címen lévő szolgáltatás minden interfészen elérhető, a vezeték nélkülin is, míg ugyanaz a szolgáltatás a 127.0.0.1 címen egyáltalán nem érhető el a szegmensből. A feloldó lekérdezése megerősíti, melyik útvonalat veszi fel a név az alagút létezése előtt, és itt zavarnak be a fogságba esett portálok. Ismételd meg a listát csatlakozás után, mert egyes kliensek olyan interfészeket emelnek fel, amelyek megváltoztatják a választ.

Az a port, amely csak az alagút aktív állapotában jelenik meg, kevésbé van kitéve, bár érdemes tudni róla. A különbséget jegyezd fel, ne az abszolút listát, mert a delta az, amit az alagút hozzáadott.

Ne fogadj el új személyazonosságot a munkamenet közepén

Egy váratlan útvonalváltozás, újracsatlakozás vagy portál-átirányítás nem engedély más kiszolgáló-személyazonosság elfogadására. Ha a kliens tanúsítvány- vagy kulcseltérést jelent, kezeld személyazonossági leletként, ne kerülendő kapcsolódásként. Egy megmagyarázatlan gyökértanúsítvány telepítése ahhoz, hogy működjön egy portál, a kézbesítési problémát bizalmi problémává alakítja. A bizalmi probléma pedig túléli az utat, amely létrehozta.

Használd a portál saját böngészőfolyamatát, majd csatlakoztasd újra az alagutat, és olvasd ki a kliensnaplóból, milyen személyazonosságot ellenőrzött. A személyazonosság-hiba azt jelenti, hogy a partner nem az, akit vártál, míg a kézbesítési hiba azt, hogy a partner soha nem válaszolt. Az első ok a megállásra, a második ok egy másik útvonal kipróbálására.

Először a kiesés viselkedését döntsd el

Itt két különböző funkció keveredik. Az újracsatlakozás megpróbálja helyreállítani a szolgáltatást, míg egy blokkolási szabályzat szabályozza, milyen forgalom megengedett, amíg az alagút áll. Egyik sem biztosít működő vezeték nélküli kapcsolatot, és egyik sem bizonyítja, hogy a végpont tiszta. Válassz kifejezetten: zárt hiba azoknak az alkalmazásoknak, amelyeknek soha nem szabad a helyi utat használniuk, és engedélyezd a szokásos böngészést az alagúton kívül, ha ez elfogadható.

Írd le a választást, mert a legtöbb kliens alapértéke egyik sem, és verzióként változik. Aztán rendezz be egy alternatív hozzáférési útvonalat, ha a rendelkezésre állás számít, például egy saját adatcsomaggal rendelkező telefonos hotspotot. Egy elfogadható átvételi tesztnek három külön eredménye van: a szándékolt forgalom az ellenőrzött alagutat használja, a nem kapcsolódó helyi figyelők elérhetetlenek, és a kiesés a választott viselkedést hozza létre.