Akun VPN bersama: batas perangkat bukan isolasi klien

Delapan koneksi bersamaan adalah angka dari halaman lisensi, dan itu tidak mengatakan apa pun tentang apa yang dapat dilakukan delapan perangkat itu satu sama lain. Satu login bersama dapat hidup berdampingan dengan kunci per sesi, dan juga dapat hidup berdampingan dengan gateway yang dengan senang hati meneruskan lalu lintas satu klien ke klien lain. Kesalahannya adalah menganggap akun sebagai batas keamanan. Ajukan empat pertanyaan terpisah sebagai gantinya: apa yang dibeli, apa yang melindungi terowongan, apa yang boleh melintas antar peer, dan apa yang dapat menjatuhkan tautan lokal.

Apa yang sebenarnya dijanjikan kuota koneksi

Batas perangkat menghitung berapa sesi yang akan diterima penyedia untuk satu langganan. Itu kendali komersial dan operasional, bukan pernyataan tentang identitas atau isolasi. Sebagian penyedia menerbitkan sertifikat terpisah untuk setiap perangkat di bawah satu akun; yang lain memakai ulang satu kredensial pada setiap koneksi. Perbedaannya terlihat saat pencabutan, karena kredensial terpisah memungkinkan Anda memutus satu perangkat, sedangkan yang dibagi tidak memberi Anda pilihan itu.

Baca bagaimana penyedia menerbitkan kredensial sebelum mengasumsikan apa pun tentang pemisahan kunci. Nama akun itu sendiri tidak mengungkapkan apa pun tentang itu.

Periksa apakah gateway meneruskan antar klien

Keterjangkauan antar peer adalah keputusan di sisi server. Pada OpenVPN sakelar yang relevan tidak ada kecuali muncul dalam konfigurasi, tetapi offload bidang data modern mengubah di mana aturan itu ditegakkan.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfigurasi tanpa direktif itu menyerahkan lalu lintas antar peer kepada firewall host, yang mungkin masih mengizinkannya. Saat offload aktif, antarmuka terowongan ditangani oleh kernel alih-alih proses ruang pengguna, jadi verifikasi penghitung aturan daripada memercayai berkas. Memblokir lalu lintas yang diteruskan antar alamat terowongan mengisolasi klien tanpa menyentuh akses mereka ke gateway. Konfirmasikan dengan uji dari satu klien ke layanan pada klien lain, baik sebelum maupun sesudah aturan.

Lindungi sesi sebelum peer

Perlindungan terowongan dan akses peer adalah sifat yang berbeda, dan sandi yang kuat tidak berarti isolasi. Dalam mode TLS setiap klien memperoleh kunci sesinya sendiri, sehingga satu klien tidak dapat membaca lalu lintas klien lain bahkan ketika gateway meneruskannya. Pengaturan kunci statis lama membagi satu kunci di antara semua orang, itulah sebabnya memakai ulang login di sana jauh lebih buruk akibatnya. Periksa mode yang dikonfigurasi, bukan halaman pemasaran, lalu nilai apakah berbagi akun cocok dengan data yang bersangkutan.

Autentikasi layanan pada setiap host tetap penting, karena terowongan hanya membuktikan bahwa klien mencapai jaringan, bukan bahwa ia harus mencapai daemon tertentu.

Kegagalan Wi-Fi lokal bukan kompromi VPN

Koneksi yang terputus membuktikan tautan lokal gagal, bukan bahwa seseorang membobol terowongan. Gangguan, sewa DHCP yang hilang, dan peralihan roaming semuanya mengakhiri sesi tanpa menyentuh kredensial atau teks tersandi. Perlakukan pemutusan sebagai temuan ketersediaan dan pisahkan dari temuan kerahasiaan serta akses peer. Di tempat jaringan lokal tidak tepercaya, lindungi lalu lintas dari ujung ke ujung alih-alih hanya bersandar pada terowongan.

Tuliskan keempat jawaban: kuota, model kunci, kebijakan peer, dan ketergantungan pada tautan lokal. Catatan itu mengubah kekhawatiran samar tentang akun bersama menjadi kendali yang spesifik.