Կիսված VPN հաշիվ. սարքերի սահմանափակումը հաճախորդների մեկուսացում չէ

Ութ միաժամանակյա կապումը թիվ է լիցենզիայի էջից, և այն ոչինչ չի ասում այն մասին, թե այս ութ սարքերը ինչ կարող են անել միմյանց։ Կիսված մուտքը կարող է գոյակցել յուրաքանչյուր նստաշրջանի բանալիների հետ, և կարող է նաև գոյակցել դարպասի հետ, որը հաճույքով փոխանցում է մի հաճախորդի թրաֆիկը մյուսին։ Սխալը հաշիվը անվտանգության սահման համարելն է։ Փոխարենը տվեք չորս առանձին հարց՝ ինչ է գնվել, ինչն է պաշտպանում թունելը, ինչ կարող է անցնել հասակակիցների միջև և ինչ կարող է տապալել տեղական կապը։

Ինչ է իրականում խոստանում կապումների թույլտվությունը

Սարքերի սահմանաթափը հաշվում է, թե քանի նստաշրջան կընդունի մատակարարը մեկ բաժանորդագրության համար։ Սա առևտրային և գործառնական վերահսկողություն է, ոչ թե հայտարարություն ինքնության կամ մեկուսացման մասին։ Որոշ մատակարարներ մեկ հաշվի ներքո յուրաքանչյուր սարքի համար առանձին վկայական են տրամադրում, մյուսները կրկին օգտագործում են մեկ հավատարմագիր յուրաքանչյուր կապի համար։ Տարբերությունը երևում է չեղարկման պահին, քանի որ առանձին հավատարմագրերը թույլ են տալիս կտրել մեկ սարք, իսկ կիսվածը ձեզ այդ հնարավորությունը չի թողնում։

Կարդացեք, թե ինչպես է մատակարարը տրամադրում հավատարմագրերը, նախքան բանալիների առանձնացման մասին որևէ բան ենթադրելը։ Հաշվի անունն ինքնին դրանից ոչինչ չի բացահայտում։

Ստուգեք՝ արդյոք դարպասը փոխանցում է հաճախորդների միջև

Հասակակիցների միջև հասանելիությունը սերվերի կողմի որոշում է։ OpenVPN-ում համապատասխան անջատիչը բացակայում է, եթե այն կազմաձևում չկա, սակայն ժամանակակից տվյալների հարթության բեռնաթափումը փոխում է, թե որտեղ է կիրառվում կանոնը։

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Այդ հրահանգից զուրկ կազմաձևը հասակակիցների թրաֆիկը թողնում է հոսթի հրդեհապատին, որը դեռ կարող է թույլատրել այն։ Երբ բեռնաթափումը ակտիվ է, թունելի ինտերֆեյսը կառավարում է միջուկը, ոչ թե օգտվողի տարածության պրոցեսը, ուստի ստուգեք կանոնների հաշվիչները՝ ֆայլին վստահելու փոխարեն։ Թունելի հասցեների միջև փոխանցվող թրաֆիկի արգելափակումը մեկուսացնում է հաճախորդներին՝ չդիպչելով դարպասին նրանց հասանելիությանը։ Հաստատեք դա մեկ հաճախորդից մյուսի մոտ գտնվող ծառայության փորձարկումով՝ թե՛ կանոնից առաջ, թե՛ հետո։

Պաշտպանեք նստաշրջանը հասակակիցներից առաջ

Թունելի պաշտպանությունը և հասակակիցների հասանելիությունը տարբեր հատկություններ են, և ուժեղ գաղտնագրումը մեկուսացում չի նշանակում։ TLS ռեժիմում յուրաքանչյուր հաճախորդ ստանում է իր նստաշրջանի բանալիները, այնպես որ մի հաճախորդ չի կարող կարդալ մյուսի թրաֆիկը նույնիսկ երբ դարպասը փոխանցում է այն։ Հին ստատիկ բանալու սխեման մեկ բանալի է բաժանում բոլորի միջև, դրա համար այնտեղ մուտքի կրկնակի օգտագործումը շատ ավելի ծանր հետևանքներ ունի։ Քննեք կազմաձևված ռեժիմը, ոչ թե մարքեթինգային էջը, ապա գնահատեք՝ արդյոք հաշվի կիսումը համապատասխանում է տվյալներին։

Յուրաքանչյուր հոսթում ծառայության նույնականացումը դեռ կարևոր է, որովհետև թունելը միայն ապացուցում է, որ հաճախորդը հասել է ցանց, ոչ թե որ նա պետք է հասնի որոշակի դեմոնի։

Տեղական Wi-Fi խափանումները VPN կոմպրոմիտացիա չեն

Կտրված կապը ապացուցում է, որ տեղական օղակը ձախողվել է, ոչ թե ինչ-որ մեկը կոտրել է թունելը։ Միջամտությունը, կորսված DHCP վարձակալությունը և ռոումինգի փոխանցումը բոլորն ավարտում են նստաշրջանը՝ չդիպչելով հավատարմագրերին կամ գաղտնագրված տեքստին։ Անջատումը դիտարկեք որպես հասանելիության հայտնաբերում և այն առանձին պահեք գաղտնիության և հասակակիցների հասանելիության հայտնաբերումներից։ Այնտեղ, որտեղ տեղական ցանցը վստահելի չէ, պաշտպանեք թրաֆիկը ծայրից ծայր՝ միայն թունելի վրա հենվելու փոխարեն։

Գրեք չորս պատասխանները՝ թույլտվություն, բանալիների մոդել, հասակակիցների քաղաքականություն և տեղական օղակից կախվածություն։ Այդ գրառումը կիսված հաշվի շուրջ անորոշ մտահոգությունը վերածում է կոնկրետ վերահսկիչների։