Հանրային Wi-Fi և VPN. ինչ չի ծածկում թունելը

Կանաչ կրծքանշան, գոհ պորտալ, աշխատող զննարկիչ․ դա ամբողջ տեսանելի պատմությունն է։ Կրծքանշանը բաց է թողնում այն, որ գաղտնագրված կապը կրում է հենց այն անլար օղակը, որից այն պետք է պաշտպանի ձեզ։ Այդ օղակը դեռ հասցնում է յուրաքանչյուր փաթեթ, դեռ տեսնում է վերջնակետի հասցեն և դեռ որոշում է՝ ինչ-որ բան ընդհանրապես կհասնի։ Հյուրանոցային կապի նոութբուքային կողմը դիտարկելը ցույց է տալիս, թե որ մասերն է թունելը ծածկում, և որոնք է ձեզ թողնում։

Մուտքի օղակը կրում է ամեն ինչ

IPsec ESP թունելը պաշտպանված ներքին փաթեթը փաթաթում է արտաքին վերնագրի մեջ, որը ցանցը կարող է երթուղավորել, և RFC 4303 բաժին 3.1.2 այդ բաժանումը ներկայացնում է։ Ներքին փաթեթն այն է, ինչ պաշտպանում է թունելը։ Արտաքին վերնագիրն այն է, ինչ հոթսփոթը կարդում է այն փոխանցելու համար։ Այլ նախագծեր այլ կերպ են ինկապսուլացնում, բայց պլանավորման հարցը նույնն է՝ ո՞ր մուտքի ուղին է կրում այս կապը։

Դարպասի խափանումը կամ փաթեթներ կորցնող օղակը կանգնեցնում է առաքումը՝ չբացահայտելով բովանդակությունը։ Ավելի ուժեղ գաղտնագրի անցնելը դրան չի օգնում, քանի որ պակասող մասը տրանսպորտն է, ոչ թե գաղտնագրությունը։ Հաջող առաքումը հակառակ ուղղությամբ նույնքան քիչ է ապացուցում, քանի որ աշխատող ուղին ոչինչ չի ասում երկու մեքենաներից ոչ մեկի վիճակի մասին։

Ձեր նոութբուքը դեռ ունի իր սեփական դռները

Անվստահելի սեգմենտին միանալը փոխում է, թե ով կարող է հասնել այն պորտերին, որոնց վրա լսում է ձեր մեքենան։ Ֆայլերի համօգտագործման ծառայությունը, հեռակառավարման գործակալը կամ բոլոր ինտերֆեյսներին կապված զարգացման սերվերը հասանելի է այդ սեգմենտի ցանկացածին, եթե ինչ-որ բան չկանգնեցնի այն։ Թրաֆիկը, որ երբեք չի մտնում թունել, դրանով պաշտպանված չէ։ Լսողը, որը պատասխանում է մինչև թունելի բարձրանալը, բաց է հենց այդ պատուհանի համար։

Պահանջը նեղ է և արժե ճշգրիտ ձևակերպել՝ նոութբուքը պետք է հասնի VPN-ի վերջնակետին, իսկ հոթսփոթի անկապ սարքերը չպետք է հասնեն տեղական ծառայություններին։ Հոսթի firewall-ի կանոնները արտահայտում են այդ սահմանը, և հարթակի սեփական համօգտագործման կարգավորումները նույնպես դրա մի մասն են արտահայտում։ Տպիչը կամ պորտալի քայլը սահմանափակ բացառություն է, որ դուք միտումնավոր եք ավելացնում, ոչ թե ապացույց, որ ամբողջ հոթսփոթը արժանի է գրասենյակային LAN-ի վստահությանը։

Որոշ կազմակերպություններ նաև սահմանափակում են տեղական հասանելիությունը, քանի դեռ աշխատանքային կապը ակտիվ է, ինչը քաղաքականություն է, ոչ թե ինժեներիա։ Կարդացեք այդ քաղաքականությունը նախքան firewall-ն անջատելը, որպեսզի ծայրամասային սարքը աշխատի։

Ստուգեք, թե ինչն է իրականում լսում

Նայեք սոքեթներին, ոչ թե կարգավորումների էջին, քանի որ էջը նկարագրում է մտադրությունը, իսկ սոքեթների աղյուսակը՝ մեքենան։ Ներքևի երկու ցանկերը առանձնացնում են յուրաքանչյուր լսող սոքեթ նրանցից, որոնց հարևանը կարող էր հասնել։ Գործարկեք դրանք անվստահելի սեգմենտում՝ նախքան թունելը միացնելը։

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Առաջին հրամանը ցույց է տալիս յուրաքանչյուր սոքեթ, իսկ երկրորդը զտում է loopback-ից դուրս կապվածները։ 0.0.0.0 կամ :: հասցեի ծառայությունը հասանելի է բոլոր ինտերֆեյսներում, ներառյալ անլարը, մինչդեռ 127.0.0.1 հասցեի նույն ծառայությունն ընդհանրապես հասանելի չէ սեգմենտից։ Լուծիչի հարցումը հաստատում է, թե անունը որ ուղին է վերցնում մինչև թունելի գոյությունը, և հենց այնտեղ են միջամտում գերեվարված պորտալները։ Կրկնեք ցանկը միանալուց հետո, քանի որ որոշ հաճախորդներ բարձրացնում են ինտերֆեյսներ, որոնք փոխում են պատասխանը։

Պորտը, որ հայտնվում է միայն թունելի աշխատանքի ընթացքում, ավելի քիչ է բաց, թեև դրա մասին իմանալը դեռ արժե։ Գրանցեք տարբերությունը, ոչ թե բացարձակ ցանկը, քանի որ դելտան է այն, ինչ ավելացրել է թունելը։

Մի ընդունեք նոր ինքնություն սեսիայի կեսին

Անսպասելի երթուղու փոփոխությունը, վերամիացումը կամ պորտալի վերահասցեավորումը թույլտվություն չեն ընդունելու այլ սերվերի ինքնություն։ Եթե հաճախորդը հաղորդում է վկայագրի կամ բանալու անհամապատասխանություն, դիտարկեք դա որպես ինքնության հայտնաբերում, ոչ թե շրջանցելի կապակցվածություն։ Անբացատրելի արմատային վկայագիր տեղադրելը, որպեսզի պորտալն աշխատի, առաքման խնդիրը վերածում է վստահության խնդրի։ Այնուհետև վստահության խնդիրը գոյատևում է ավելի երկար, քան այն ստեղծած ճամփորդությունը։

Օգտագործեք պորտալի սեփական զննարկիչի հոսքը, ապա նորից միացրեք թունելը և կարդացեք հաճախորդի մատյանում, թե որ ինքնությունն է ստուգել։ Ինքնության ձախողումը նշանակում է, որ կողմը այն չէ, ում սպասում էիք, մինչդեռ առաքման ձախողումը նշանակում է, որ կողմը երբեք չի պատասխանել։ Առաջինը կանգ առնելու պատճառ է, իսկ երկրորդը՝ այլ ուղի փորձելու պատճառ։

Նախ որոշեք ընդհատման վարքը

Այստեղ երկու տարբեր հատկություններ են շփոթվում։ Վերամիացումը փորձում է վերականգնել ծառայությունը, մինչդեռ արգելափակման քաղաքականությունը վերահսկում է, թե որ թրաֆիկն է թույլատրվում, քանի դեռ թունելը կանգնած է։ Ոչ մեկը չի ապահովում աշխատող անլար օղակ, և ոչ մեկը չի ապացուցում, որ վերջնակետը մաքուր է։ Ընտրեք հստակ՝ փակ ձախողում այն հավելվածների համար, որոնք երբեք չպետք է օգտագործեն տեղական ուղին, և թույլատրեք սովորական զննարկումը թունելից դուրս, եթե դա ընդունելի է։

Գրեք ընտրությունը, քանի որ հաճախորդների մեծ մասում լռելյայնը ոչ մեկն է, և այն տարբերվում է ըստ տարբերակի։ Ապա կազմակերպեք այլընտրանքային մուտքի ուղի, եթե հասանելիությունը կարևոր է, օրինակ՝ սեփական տվյալների պլանով հեռախոսային հոթսփոթ։ Ընդունելի ընդունման թեստն ունի երեք առանձին արդյունք՝ նախատեսված թրաֆիկը օգտագործում է ստուգված թունելը, անկապ տեղական լսողները անհասանելի են, և ընդհատումն առաջացնում է ձեր ընտրած վարքը։