Wi-Fi publik dan VPN: apa yang tidak dicakup terowongan

Lencana hijau, portal puas, peramban berfungsi: itulah seluruh cerita yang terlihat. Yang lencana hilangkan adalah koneksi terenkripsi dibawa justru oleh tautan nirkabel yang seharusnya melindungi Anda darinya. Tautan itu tetap mengantarkan setiap paket, tetap melihat alamat tujuan, dan tetap memutuskan apakah ada yang tiba. Menelusuri sisi laptop dari koneksi hotel menunjukkan bagian mana yang dicakup terowongan dan bagian mana yang diserahkan kepada Anda.

Tautan akses membawa segalanya

Terowongan IPsec ESP membungkus paket dalam yang dilindungi di dalam tajuk luar yang dapat dirutekan jaringan, dan RFC 4303 bagian 3.1.2 memaparkan pemisahan itu. Paket dalam adalah yang dilindungi terowongan. Tajuk luar adalah yang dibaca hotspot untuk meneruskannya. Rancangan lain melakukan enkapsulasi dengan cara berbeda, tetapi pertanyaan perencanaannya sama: jalur akses mana yang membawa koneksi ini?

Kegagalan gateway atau tautan yang menjatuhkan paket menghentikan pengantaran tanpa mengungkap isi. Beralih ke sandi yang lebih kuat tidak berpengaruh pada itu, karena bagian yang hilang adalah transportasi, bukan kriptografi. Pengantaran yang berhasil juga sama sedikit membuktikan ke arah lain, karena jalur yang berfungsi tidak mengatakan apa pun tentang keadaan kedua mesin.

Laptop Anda tetap punya pintunya sendiri

Bergabung ke segmen yang tidak tepercaya mengubah siapa yang dapat menjangkau porta tempat mesin Anda mendengarkan. Layanan berbagi berkas, agen administrasi jarak jauh, atau server pengembangan yang terikat ke semua antarmuka dapat dijangkau siapa pun di segmen itu kecuali ada yang menghentikannya. Lalu lintas yang tidak pernah masuk terowongan tidak dilindungi olehnya. Pendengar yang menjawab sebelum terowongan menyala terekspos tepat pada jendela itu.

Persyaratannya sempit dan layak dinyatakan dengan tepat: laptop harus menjangkau titik akhir VPN, dan perangkat tak berkaitan di hotspot tidak boleh menjangkau layanan lokal. Aturan firewall host menyatakan batas itu, dan pengaturan berbagi platform itu sendiri juga menyatakan sebagiannya. Pencetak atau langkah portal adalah pengecualian terbatas yang Anda tambahkan dengan sengaja, bukan bukti bahwa seluruh hotspot layak dipercaya seperti LAN kantor.

Sebagian organisasi juga membatasi akses lokal selama koneksi kerja aktif, dan itu kebijakan, bukan rekayasa. Baca kebijakan itu sebelum menonaktifkan firewall agar periferal berfungsi.

Periksa apa yang benar-benar mendengarkan

Lihat soket, bukan halaman pengaturan, karena halaman menggambarkan niat dan tabel soket menggambarkan mesin. Dua daftar di bawah memisahkan setiap soket yang mendengarkan dari yang dapat dijangkau tetangga. Jalankan keduanya di segmen tidak tepercaya sebelum menyambungkan terowongan.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Perintah pertama menunjukkan setiap soket, dan yang kedua menyaring ke soket yang terikat di luar loopback. Layanan pada 0.0.0.0 atau :: tersedia di setiap antarmuka, termasuk yang nirkabel, sedangkan layanan yang sama pada 127.0.0.1 sama sekali tidak terjangkau dari segmen. Kueri resolver memastikan jalur mana yang diambil nama sebelum terowongan ada, dan di situlah portal tertawan ikut campur. Ulangi daftar setelah menyambung, karena sebagian klien menaikkan antarmuka yang mengubah jawaban.

Porta yang hanya muncul selama terowongan menyala lebih sedikit terekspos, meski tetap layak diketahui. Catat selisihnya, bukan daftar mutlaknya, karena delta itulah yang ditambahkan terowongan.

Jangan terima identitas baru di tengah sesi

Perubahan rute tak terduga, penyambungan ulang, atau pengalihan portal bukan izin untuk menerima identitas server yang berbeda. Jika klien melaporkan ketidakcocokan sertifikat atau kunci, perlakukan itu sebagai temuan identitas, bukan sebagai konektivitas yang harus diakali. Memasang sertifikat akar tanpa penjelasan agar portal berfungsi mengubah masalah pengantaran menjadi masalah kepercayaan. Masalah kepercayaan itu kemudian bertahan lebih lama daripada perjalanan yang menciptakannya.

Gunakan alur peramban portal itu sendiri, lalu sambungkan ulang terowongan dan baca log klien untuk identitas yang diverifikasinya. Kegagalan identitas berarti lawan bukan orang yang Anda harapkan, sedangkan kegagalan pengantaran berarti lawan tidak pernah menjawab. Yang pertama alasan berhenti, dan yang kedua alasan mencoba jalur lain.

Putuskan dulu perilaku saat gangguan

Dua fitur berbeda tertukar di sini. Penyambungan ulang mencoba memulihkan layanan, sedangkan kebijakan pemblokiran mengatur lalu lintas mana yang diizinkan selama terowongan mati. Keduanya tidak menyediakan tautan nirkabel yang berfungsi, dan keduanya tidak membuktikan titik akhir bersih. Pilih secara eksplisit: gagal tertutup untuk aplikasi yang tidak boleh memakai jalur lokal, dan izinkan penjelajahan biasa di luar terowongan jika itu dapat diterima.

Tuliskan pilihannya, karena bawaan di sebagian besar klien bukan salah satu dari keduanya, dan berbeda menurut versi. Lalu siapkan jalur akses alternatif jika ketersediaan penting, seperti hotspot ponsel dengan paket data sendiri. Uji penerimaan yang memadai punya tiga hasil terpisah: lalu lintas yang dimaksud memakai terowongan terverifikasi, pendengar lokal tak berkaitan tidak terjangkau, dan gangguan menghasilkan perilaku yang Anda pilih.