Megosztott VPN-fiók: az eszközlimit nem ügyfélizoláció

Nyolc egyidejű kapcsolat egy licencoldalról származó szám, és semmit sem mond arról, mit tehet ez a nyolc eszköz egymással. Egy megosztott bejelentkezés létezhet munkamenetenkénti kulcsokkal, és létezhet olyan átjáróval is, amely szívesen továbbítja az egyik ügyfél forgalmát a másikhoz. A hiba a fiókot biztonsági határként kezelni. Tegyen fel inkább négy külön kérdést: mit vásároltak, mi védi az alagutat, mi haladhat át a partnerek között, és mi döntheti le a helyi kapcsolatot.

Mit ígér valójában egy kapcsolati engedély

Az eszközlimit azt számolja, hány munkamenetet fogad el a szolgáltató egy előfizetéshez. Ez kereskedelmi és üzemeltetési ellenőrzés, nem nyilatkozat az identitásról vagy az izolációról. Egyes szolgáltatók eszközönként külön tanúsítványt adnak ki egy fiók alatt, mások minden kapcsolatban ugyanazt a hitelesítő adatot használják újra. A különbség visszavonáskor látszik, mert a külön hitelesítő adatokkal levághat egy eszközt, a megosztott viszont nem hagyja meg ezt a lehetőséget.

Olvassa el, hogyan adja ki a szolgáltató a hitelesítő adatokat, mielőtt bármit feltételezne a kulcsok szétválasztásáról. Maga a fióknév semmit sem árul el ebből.

Ellenőrizze, továbbít-e az átjáró az ügyfelek között

A partnerek közötti elérhetőség kiszolgálóoldali döntés. Az OpenVPN-nél a vonatkozó kapcsoló hiányzik, hacsak nem szerepel a konfigurációban, de a modern adatsík-kiszervezés megváltoztatja, hol érvényesül a szabály.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Az irányelv nélküli konfiguráció a partnerek közötti forgalmat a gazdagép tűzfalára bízza, amely még engedélyezheti. Ha a kiszervezés aktív, az alagút-interfészt a kernel kezeli a felhasználói tér folyamata helyett, ezért a szabályszámlálókat ellenőrizze, ne a fájlnak higgyen. Az alagútcímek között továbbított forgalom blokkolása izolálja az ügyfeleket anélkül, hogy hozzányúlna az átjáróhoz való hozzáférésükhöz. Erősítse meg egy ügyféltől a másikon futó szolgáltatás felé indított próbával, a szabály előtt és után is.

Védje a munkamenetet a partnerek előtt

Az alagút védelme és a partnerhozzáférés különböző tulajdonságok, és az erős titkosítás nem jelent izolációt. TLS módban minden ügyfél a saját munkamenetkulcsait származtatja, így az egyik ügyfél nem olvashatja a másik forgalmát akkor sem, ha az átjáró továbbítja. A régi statikus kulcsos elrendezés egyetlen kulcsot oszt meg mindenki között, ezért a bejelentkezés újrafelhasználása ott sokkal súlyosabb következményekkel jár. Vizsgálja meg a beállított módot, ne a marketingoldalt, majd ítélje meg, illik-e a fiókmegosztás az érintett adatokhoz.

A szolgáltatás hitelesítése minden gazdagépen továbbra is számít, mert az alagút csak azt bizonyítja, hogy egy ügyfél elérte a hálózatot, nem azt, hogy el kell érnie egy adott démont.

A helyi Wi-Fi hibái nem VPN-kompromittálás

A megszakadt kapcsolat azt bizonyítja, hogy a helyi kapcsolat hibázott, nem azt, hogy valaki feltörte az alagutat. Zavarok, elveszett DHCP-bérlet és barangolási átadás mind befejeznek egy munkamenetet anélkül, hogy hozzányúlnának a hitelesítő adatokhoz vagy a rejtjelezett szöveghez. A bontást elérhetőségi megállapításként kezelje, és tartsa külön a bizalmassági és partnerhozzáférési megállapításoktól. Ahol a helyi hálózat nem megbízható, ott végponttól végpontig védje a forgalmat, ahelyett hogy csak az alagútra támaszkodna.

Írja le a négy választ: engedély, kulcsminta, partnerpolitika és a helyi kapcsolattól való függés. Ez a feljegyzés a megosztott fiók miatti homályos aggodalmat konkrét ellenőrzésekké alakítja.