Eitt VPN-innskráning á sameiginlegri tölvu: hver fær leiðina annars?
VPN-innskráning auðkennir eina manneskju; leiðin sem hún setur upp er annað umfang. Berið saman göng fyrir alla vélina, á notanda og á forrit á sameiginlegri vél.
Að deila vinnustöð setur fram spurningu sem fartölva eins notanda þarf aldrei að svara: þegar ein manneskja auðkennir ganginn, hver annar getur notað hann? Innskráningin auðkennir einstakling, og leiðin sem hún setur upp lýsir umfangi, og þetta eru ekki sami hluturinn. Milli þeirra eru stýrikerfið, uppsetning biðlarans og það sem einkaþjónustan krefst sjálf. Að bera saman framfylgdarpunktana er eina leiðin til að svara án þess að giska.
Ein innskráning, nokkur umfang
Auðkenning svarar því hverjir voru hleyptir inn. Leiðin svarar því hvaða pakkar mega fara út um ganginn. Heimild svarar því hvaða þjónusta tekur við tengingunni sem verður til, og ekkert þeirra þriggja gefur hið næsta í skyn.
Gangur fyrir alla vélina er algengi sjálfgefni kosturinn, og hann gerir bilið augljóst. Leiðin er í töflu kjarnans, svo hvert ferli sem notar þá töflu getur náð einkanetinu, þar á meðal ferli sem notandi sem aldrei sá VPN-gluggann ræsti. Þetta er ekki galli í ganginum; þetta er merking kerfisvíðrar leiðar. Einkaþjónustan getur samt hafnað tengingunni, og þess vegna þurfa aðgengi og heimild sitthvort svarið.
Að skrifa spurningarnar fjórar niður fyrir prófun kemur í veg fyrir að yfirferðin falli í eina þeirra.
Hvar mörkin liggja í raun
Fjögur fyrirkomulög ná yfir flestar vélar: gangur fyrir alla vélina, tenging á notanda, leyfislisti á forrit og sérstakt netnafnrými eða sýndarvél.
Hvert þeirra setur framfylgdarpunktinn annars staðar, og munurinn skiptir meira máli en heitin. Tenging á notanda er framfylgd af heimildum sniðsins, ekki af innskráningarskjá skjáborðsins. Leyfislisti á forrit er framfylgdur inni í biðlinum, sem ákveður hvað hann flytur. Nafnrými eða VM framfylgir við mörk viðmótsins, svo ferli inni í því sér alls ekki leið vélarinnar. Fjöldi innskráningarskjáa á vélinni segir ekkert um neitt þeirra.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Að lesa töfluna línu fyrir línu sýnir að raunverulega spurningin er ekki hvort einangrun sé til, heldur hvar hún er innleidd.
Berið saman fjóra framfylgdarpunkta
Á Linux er leiðatöflan það fyrsta sem skoða þarf, því gangur fyrir alla vélina birtist þar en nafnrými ekki. Að keyra uppflettinguna sem annar notandi er skrefið sem fólk sleppir; svarið er annað en það sem það fékk sem það sjálft, og það skýrir skýrsluna.
Næstu tvær prófanir horfa á stefnu en ekki leiðarstýringu. Eldveggjarregla sem passar við UID gildir um umferð sem verður til á staðnum, svo hún getur aðskilið tvo notendur á einni vél þótt báðir deili leiðinni. Tengingsnið með skýrum leyfislista er framfylgt af netstjóranum við virkjun. Önnur prófunin krefst ekki breytingar á ganginum, og þess vegna er þess virði að gera þær áður en eitthvað er endurhannað.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidEf seinni uppflettingin sýnir leið gangsins, eru mörkin ekki þar sem hönnunin gerði ráð fyrir.
Reglur um samhliða setur eru sérstök stjórn
Hlið takmarka oft hversu mörg setur einn reikningur má halda, og sú takmörk tengist ekki staðbundnum notendum. Hún takmarkar reikninginn, svo önnur manneskja sem skráir sig inn með sömu skilríkjum getur stöðvað gang fyrstu manneskjunnar.
Lestu bilunina áður en þú gerir ráð fyrir staðbundnu einangrunarvandamáli. Setutakmörk valda aftengingu við hliðið, en umfangsvandamál veldur gangi sem virkar en flytur einfaldlega ekki umferð hins notandans. Þessi tvö einkenni leiða til gjörólíkra lagfæringa. Geymdu nákvæm skilaboð biðlarans, því oftast nefna þau regluna. Biddu eiganda sniðsins um samþykkt vinnuflæði í stað þess að fara fram hjá takmörkuninni.
Sýndarvél veitir engum undanþágu frá þeirri reglu, og hún bætir við eigin net- og skilríkjahönnun.
Prófaðu samhengið sem þér er mikilvægt
Prófaðu ætlaðan notanda og forrit, prófaðu síðan samhengi sem ætti að vera hafnað. Yfirferð sem sannar aðeins að upprunalega lykilorðið virki hefur prófað auðkenningu og ekkert annað.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Skráðu framfylgdarpunktinn við hverja niðurstöðu: leiðatöfluna, UID-reglu, sniðsheimild eða setustefnu hliðsins. Sú skráning gerir næstu breytingu yfirfaranlega. Hún kemur líka í veg fyrir að sama spurningin opnist aftur í hvert sinn sem einhver tekur eftir öðrum innskráningarskjá. Aðgengi er ekki heimild, og hvorugt þeirra er einangrun.