公共Wi-FiとVPN：トンネルが守らないもの
トンネルが守るのは、あなたが管理しないネットワーク上の一つの経路にすぎない。バッジが決して示さない接続経路、ローカルの待ち受け、障害時の挙動をたどる。
緑のバッジ、満足したポータル、動くブラウザ：それが目に見える物語のすべてだ。バッジが省いているのは、暗号化された接続を運んでいるのが、まさにあなたを守るはずの無線リンクそのものだという点だ。そのリンクはいまも全パケットを届け、宛先アドレスを見ており、何かが届くかどうかも決めている。ホテルの接続のラップトップ側をたどれば、トンネルが覆う部分とあなたに委ねる部分が見えてくる。
アクセスリンクがすべてを運ぶ
IPsec ESPトンネルは、保護された内側のパケットを、ネットワークが経路制御できる外側のヘッダーで包み、その分割を説明するのが RFC 4303 3.1.2節 だ。内側のパケットがトンネルの守る対象である。外側のヘッダーは、ホットスポットが転送のために読むものだ。他の設計はカプセル化の方法が違っても、計画上の問いは同じで、この接続を運ぶアクセス経路はどれか。
ゲートウェイの故障やパケットを落とすリンクは、内容を明かさずに配達を止める。より強い暗号に変えても、欠けているのは暗号ではなく伝送だから意味はない。配達の成功も、動く経路はどちらのマシンの状態についても何も語らないのだから、逆向きにはほとんど何も証明しない。
ラップトップにはまだ自分の扉がある
信頼できないセグメントに参加すると、あなたのマシンが待ち受けるポートに誰が到達できるかが変わる。ファイル共有サービス、遠隔管理エージェント、すべてのインターフェースに束縛された開発サーバーは、何かが止めない限り、そのセグメントの誰からでも到達できる。トンネルに入らない通信はトンネルに守られない。トンネルが上がる前に応答する待ち受けは、まさにその窓の間だけ露出する。
要件は狭く、正確に述べる価値がある：ラップトップはVPNの終端に到達でき、ホットスポット上の無関係な機器はローカルサービスに到達できないことだ。ホストのファイアウォール規則がその境界を表す、プラットフォーム自身の共有設定もその一部を表している。プリンターやポータルの手順は、あなたが意図的に加える限定的な例外であり、ホットスポット全体が社内LANの信頼に値する証拠ではない。
組織によっては、業務接続が有効な間はローカルアクセスも制限するが、それは工学ではなく方針である。周辺機器を動かすためにファイアウォールを無効にする前に、その方針を読むこと。
実際に何が待ち受けているかを確認する
設定ページではなくソケットを見る。ページは意図を語り、ソケット表はマシンを語る。下の二つの一覧は、待ち受け中のソケットと、隣人が到達しうるソケットを分けるので、トンネルを接続する前に、信頼できないセグメントで実行すること。
ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net最初のコマンドはすべてのソケットを示し、二つ目はループバックの外に束縛されたものに絞る。0.0.0.0 や :: のサービスは無線を含むすべてのインターフェースで利用できるが、127.0.0.1 の同じサービスはセグメントからはまったく到達できない。リゾルバへの問い合わせは、トンネルが存在する前に名前がどの経路を通るかを確かめ、キャプティブポータルが干渉するのはそこだ。応答を変えるインターフェースを立ち上げるクライアントがあるから、接続後にもう一度一覧を取ること。
トンネルが上がっている間だけ現れるポートは露出が少ないが、それでも知っておく価値はある。絶対的な一覧ではなく差分、つまりトンネルが加えたものを記録すること。
セッションの途中で新しい身元を受け入れない
予期しない経路変更、再接続、ポータルのリダイレクトは、別のサーバー身元を受け入れる許可ではない。証明書や鍵の不一致をクライアントが報告したら、回避すべき接続性ではなく身元の所見として扱う。説明のないルート証明書を入れてポータルを通すのは、配達の問題を信頼の問題に変えることだ。信頼の問題は、それを作った旅よりも長く残る。
ポータル自身のブラウザフローを使い、その後にトンネルへ再接続して、検証した身元をクライアントログで読む。身元の失敗は相手が期待した相手でないことを意味し、配達の失敗は相手が一度も応答しなかったことを意味する。前者は止まる理由であり、後者は別の経路を試す理由である。
まず障害時の挙動を決める
ここで二つの機能が混同される。再接続はサービスの復旧を試み、ブロック方針はトンネルが落ちている間にどの通信を許すかを制御する。どちらも動く無線リンクを供給せず、どちらも終端が清潔であることを証明しない。明示的に選ぶこと：ローカル経路を決して使うべきでないアプリは閉じた失敗にし、許容できるならトンネルの外の通常の閲覧を許可する。
ほとんどのクライアントの既定はどちらでもなく、バージョンによって変わるのだから、選択を書き留めること。次に、可用性が重要なら、独自のデータプランを持つ携帯電話のホットスポットなど、代替のアクセス経路を用意する。合格する受け入れ試験には、意図した通信が検証済みのトンネルを使い、無関係なローカル待ち受けに到達できず、障害が選んだ挙動を生むという三つの別々の結果がある。