Մեկ VPN մուտք համատեղ համակարգչում. ո՞վ ևս է ստանում երթուղին։
VPN մուտքը հաստատում է մեկ անձի. տեղադրվող երթուղին այլ շրջանակ է։ Համեմատեք ամբողջ հոսթի, յուրաքանչյուր օգտատիրոջ և յուրաքանչյուր հավելվածի թունելները համատեղ մեքենայում։
Աշխատանքային կայանի համատեղ օգտագործումը բարձրացնում է հարց, որին մեկ օգտատիրոջ դյուրակիր համակարգիչը երբեք ստիպված չէ պատասխանել՝ երբ մեկ անձը հաստատում է թունելը, ո՞վ ևս կարող է օգտվել դրանից։ Մուտքը նույնականացնում է սուբյեկտ, իսկ տեղադրվող երթուղին նկարագրում է շրջանակ, և այս երկուսը նույն օբյեկտը չեն։ Նրանց միջև են օպերացիոն համակարգը, հաճախորդի կարգավորումը և այն, ինչ մասնավոր ծառայությունը պահանջում է ինքնուրույն։ Կատարման կետերի համեմատությունը հարցին առանց գուշակության պատասխանելու միակ միջոցն է։
Մեկ մուտք, մի քանի շրջանակ
Նույնականացումը պատասխանում է, թե ում ընդունեցին։ Երթուղին պատասխանում է, թե որ փաթեթները կարող են դուրս գալ թունելով։ Լիազորումը պատասխանում է, թե որ ծառայությունը կընդունի ստացված կապը, և երեքից ոչ մեկը չի ենթադրում հաջորդը։
Ամբողջ հոսթի թունելը սովորական կանխադրվածն է, և այն բացը դարձնում է ակնհայտ։ Երթուղին գտնվում է միջուկի աղյուսակում, ուստի այդ աղյուսակն օգտագործող յուրաքանչյուր գործընթաց կարող է հասնել մասնավոր ցանցին, ներառյալ այն, որը սկսել է օգտատերը, որը երբեք չի տեսել VPN երկխոսությունը։ Սա թունելի արատ չէ՝ սա է համակարգային երթուղու իմաստը։ Մասնավոր ծառայությունը դեռ կարող է մերժել կապը, դրա համար էլ հասանելիությունը և թույլտվությունը առանձին պատասխանների կարիք ունեն։
Չորս հարցերը թեստից առաջ գրելը թույլ չի տալիս վերանայմանը կրճատվել դրանցից մեկով։
Որտեղ է սահմանն իրականում
Չորս դասավորություն ընդգրկում են մեքենաների մեծ մասը՝ ամբողջ հոսթի թունել, յուրաքանչյուր օգտատիրոջ կապ, յուրաքանչյուր հավելվածի թույլատրելի ցանկ և առանձին ցանցային անվանատարածք կամ վիրտուալ մեքենա։
Յուրաքանչյուրը կատարման կետը դնում է այլ տեղ, և տարբերությունները կարևոր են պիտակներից։ Յուրաքանչյուր օգտատիրոջ կապը կիրառվում է պրոֆիլի թույլտվություններով, ոչ թե աշխատասեղանի մուտքի էկրանով։ Յուրաքանչյուր հավելվածի թույլատրելի ցանկը կիրառվում է հաճախորդի ներսում, որը որոշում է, թե ինչ կտանի։ Անվանատարածքը կամ VM-ը կիրառում է միջերեսի սահմանին, ուստի ներսում գտնվող գործընթացը բոլորովին չի տեսնում հոսթի երթուղին։ Մեքենայի մուտքի էկրանների քանակը ոչինչ չի ասում դրանցից ոչ մեկի մասին։
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Աղյուսակը տող առ տող կարդալը ցույց է տալիս, որ իրական հարցը ոչ թե մեկուսացում կա՞, այլ այն է, թե որտեղ է այն իրականացված։
Համեմատեք չորս կատարման կետեր
Linux-ում երթուղիների աղյուսակն առաջինն է, որ պետք է ստուգել, քանի որ ամբողջ հոսթի թունելը երևում է այնտեղ, իսկ անվանատարածքը՝ ոչ։ Որոնումը երկրորդ օգտատիրոջով գործարկելը այն քայլն է, որը մարդիկ բաց են թողնում՝ պատասխանը տարբերվում է իրենցով ստացածից, և դա է բացատրում զեկույցը։
Հաջորդ երկու ստուգումները նայում են քաղաքականությանը, ոչ թե երթուղավորմանը։ UID-ին համապատասխանող firewall կանոնը վերաբերում է տեղում առաջացած երթևեկությանը, ուստի այն կարող է բաժանել երկու օգտատերերի մեկ հոսթում նույնիսկ այն դեպքում, երբ երկուսն էլ կիսում են երթուղին։ Բացահայտ թույլտվությունների ցանկով կապի պրոֆիլը կիրառվում է ցանցի կառավարչի կողմից ակտիվացման պահին։ Ստուգումներից ոչ մեկը չի պահանջում փոխել թունելը, դրա համար էլ արժե դրանք անել նախքան որևէ վերանախագծում։
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidԵթե երկրորդ որոնումը ցույց է տալիս թունելի երթուղին, ապա սահմանը այնտեղ չէ, որտեղ նախագիծը ենթադրել էր։
Միաժամանակյա սեսիաների կանոնները առանձին վերահսկողություն են
Դարպասները հաճախ սահմանափակում են, թե քանի սեսիա կարող է պահել մեկ հաշիվ, և այդ սահմանը ոչ մի կապ չունի տեղական օգտատերերի հետ։ Այն սահմանափակում է հաշիվը, ուստի նույն հավատարմագրով մուտք գործող երկրորդ անձը կարող է դադարեցնել առաջինի թունելը։
Կարդացեք ձախողումը նախքան տեղական մեկուսացման խնդիր ենթադրելը։ Սեսիաների սահմանը դարպասում անջատում է առաջացնում, մինչդեռ շրջանակի խնդիրը աշխատող թունել է առաջացնում, որը պարզապես չի տանում մյուս օգտատիրոջ երթևեկությունը։ Այս երկու ախտանիշները տանում են բոլորովին տարբեր ուղղումների։ Պահեք հաճախորդի ճշգրիտ հաղորդագրությունը, քանի որ այն սովորաբար անվանում է կանոնը։ Պրոֆիլի սեփականատիրոջից խնդրեք հաստատված աշխատահոսքը՝ սահմանը շրջանցելու փոխարեն։
Վիրտուալ մեքենան ոչ մեկին չի ազատում այդ կանոնից և ավելացնում է իր ցանցային և հավատարմագրային նախագիծը։
Փորձարկեք այն համատեքստը, որը ձեզ հետաքրքրում է
Փորձարկեք նախատեսված օգտատիրոջն ու հավելվածը, ապա փորձարկեք համատեքստ, որը պետք է մերժվի։ Վերանայումը, որը միայն ապացուցում է, որ սկզբնական գաղտնաբառը աշխատում է, փորձարկել է նույնականացումը և ոչ այլ բան։
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Գրանցեք կատարման կետը յուրաքանչյուր արդյունքի կողքին՝ երթուղիների աղյուսակ, UID կանոն, պրոֆիլի թույլտվություն կամ դարպասի սեսիաների քաղաքականություն։ Այդ գրանցումը հաջորդ փոփոխությունը դարձնում է վերանայելի։ Այն նաև թույլ չի տալիս նույն հարցը կրկին բացել ամեն անգամ, երբ ինչ-որ մեկը նկատում է երկրորդ մուտքի էկրան։ Հասանելիությունը լիազորում չէ, և դրանցից ոչ մեկը մեկուսացում չէ։