საჯარო Wi-Fi და VPN: რას არ ფარავს გვირაბი

მწვანე ნიშანი, კმაყოფილი პორტალი, მუშა ბრაუზერი: ეს არის მთელი ხილული ამბავი. რასაც ნიშანი გამოტოვებს, ის არის, რომ დაშიფრულ კავშირს გადააქვს სწორედ იმ უკაბელო ბმულს, რომლისგანაც მან უნდა დაგიცვას. ეს ბმული კვლავ აწვდის ყველა პაკეტს, კვლავ ხედავს დანიშნულების მისამართს და კვლავ წყვეტს, საერთოდ მივა თუ არა რამე. სასტუმრო კავშირის ლეპტოპის მხარის დათვალიერება აჩვენებს, რომელ ნაწილებს ფარავს გვირაბი და რომლებს ტოვებს თქვენთვის.

წვდომის ბმული ყველაფერს გადააქვს

IPsec ESP გვირაბი დაცულ შიდა პაკეტს ახვევს გარე სათაურში, რომლის მარშრუტიზაციაც ქსელს შეუძლია, და RFC 4303 განყოფილება 3.1.2 ხსნის ამ დაყოფას. შიდა პაკეტი ის არის, რასაც გვირაბი იცავს. გარე სათაური ის არის, რასაც ჰოთსპოტი კითხულობს მის გადასაგზავნად. სხვა დიზაინები სხვანაირად აკაფსულებენ, მაგრამ დაგეგმვის კითხვა იგივეა: რომელი წვდომის გზა გადააქვს ამ კავშირს?

კარიბჭის უკმარისობა ან პაკეტების ჩამომყრელი ბმული აჩერებს მიწოდებას შიგთავსის გამოვლენის გარეშე. უფრო ძლიერ შიფრზე გადასვლა ამაში არაფერს ცვლის, რადგან დაკარგული ნაწილი ტრანსპორტია და არა კრიპტოგრაფია. წარმატებული მიწოდება საპირისპირო მიმართულებით ისევე ცოტას ამტკიცებს, რადგან მუშა გზა არაფერს ამბობს არც ერთი მანქანის მდგომარეობაზე.

თქვენს ლეპტოპს ჯერ კიდევ აქვს საკუთარი კარები

არასანდო სეგმენტში შეერთება ცვლის, ვის შეუძლია მიაღწიოს იმ პორტებს, რომლებსაც თქვენი მანქანა უსმენს. ფაილების გაზიარების სერვისი, დისტანციური ადმინისტრირების აგენტი ან ყველა ინტერფეისზე მიბმული განვითარების სერვერი ხელმისაწვდომია ნებისმიერისთვის ამ სეგმენტში, თუ რაღაც არ შეაჩერებს მას. ტრაფიკი, რომელიც არასოდეს შედის გვირაბში, არ არის მის მიერ დაცული. მსმენელი, რომელიც პასუხობს გვირაბის აწევამდე, ღიაა სწორედ იმ ფანჯრისთვის.

მოთხოვნა ვიწროა და ღირს ზუსტად ჩამოყალიბება: ლეპტოპმა უნდა მიაღწიოს VPN-ის საბოლოო წერტილს, ხოლო ჰოთსპოტზე უკავშირო მოწყობილობებმა არ უნდა მიაღწიონ ლოკალურ სერვისებს. ჰოსტის firewall-ის წესები გამოხატავს ამ საზღვარს, და პლატფორმის საკუთარი გაზიარების პარამეტრებიც გამოხატავს მის ნაწილს. პრინტერი ან პორტალის ნაბიჯი არის შეზღუდული გამონაკლისი, რომელსაც განზრახ ამატებთ, და არა მტკიცებულება, რომ მთელი ჰოთსპოტი იმსახურებს საოფისე LAN-ის ნდობას.

ზოგი ორგანიზაცია ლოკალურ წვდომასაც ზღუდავს, სანამ სამუშაო კავშირი აქტიურია, და ეს პოლიტიკაა და არა ინჟინერია. წაიკითხეთ ეს პოლიტიკა, სანამ firewall-ს გამორთავთ პერიფერიული მოწყობილობის გასამართად.

შეამოწმეთ, რა უსმენს სინამდვილეში

შეხედეთ სოკეტებს და არა პარამეტრების გვერდს, რადგან გვერდი განზრახვას აღწერს, სოკეტების ცხრილი კი მანქანას. ქვემოთ მოცემული ორი სია ჰყოფს ყოველ მსმენ სოკეტს იმათგან, რომლებზეც მეზობელს შეეძლო მისვლა. გაუშვით ისინი არასანდო სეგმენტში გვირაბის შეერთებამდე.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

პირველი ბრძანება აჩვენებს ყოველ სოკეტს, მეორე კი ფილტრავს loopback-ის გარეთ მიბმულებზე. სერვისი 0.0.0.0-ზე ან ::-ზე ხელმისაწვდომია ყველა ინტერფეისზე, მათ შორის უკაბელოზე, ხოლო იგივე სერვისი 127.0.0.1-ზე საერთოდ მიუწვდომელია სეგმენტიდან. გამხსნელის მოთხოვნა ადასტურებს, რომელ გზას იღებს სახელი გვირაბის არსებობამდე, და სწორედ იქ ერევიან დატყვევებული პორტალები. გაიმეორეთ სია შეერთების შემდეგ, რადგან ზოგი კლიენტი ხსნის ინტერფეისებს, რომლებიც პასუხს ცვლიან.

პორტი, რომელიც მხოლოდ გვირაბის აწეულ მდგომარეობაში ჩნდება, ნაკლებად ღიაა, თუმცა მის შესახებ ცოდნა მაინც ღირს. ჩაწერეთ განსხვავება და არა აბსოლუტური სია, რადგან დელტა არის ის, რაც გვირაბმა დაამატა.

სესიის შუაში ნუ მიიღებთ ახალ იდენტობას

მოულოდნელი მარშრუტის ცვლილება, ხელახალი შეერთება ან პორტალის გადამისამართება არ არის სხვა სერვერის იდენტობის მიღების ნებართვა. თუ კლიენტი იტყობინება სერტიფიკატის ან გასაღების შეუთავსებლობას, განიხილეთ ის როგორც იდენტობის აღმოჩენა და არა როგორც კავშირი, რომელსაც უნდა ავუაროთ. აუხსნელი ძირეული სერტიფიკატის დაყენება პორტალის გასამართად მიწოდების პრობლემას ნდობის პრობლემად აქცევს. შემდეგ ნდობის პრობლემა იმ მოგზაურობაზე დიდხანს ცოცხლობს, რომელმაც ის შექმნა.

გამოიყენეთ პორტალის საკუთარი ბრაუზერის ნაკადი, შემდეგ ხელახლა შეაერთეთ გვირაბი და წაიკითხეთ კლიენტის ჟურნალში, რომელი იდენტობა დაადასტურა. იდენტობის უკმარისობა ნიშნავს, რომ მხარე არ არის ის, ვისაც ელოდით, ხოლო მიწოდების უკმარისობა ნიშნავს, რომ მხარემ არასოდეს უპასუხა. პირველი გაჩერების მიზეზია, მეორე კი სხვა გზის ცდის მიზეზი.

ჯერ გადაწყვიტეთ გაუმართაობის ქცევა

აქ ორი სხვადასხვა ფუნქცია ერევა ერთმანეთს. ხელახალი შეერთება ცდილობს სერვისის აღდგენას, ხოლო ბლოკირების პოლიტიკა აკონტროლებს, რომელი ტრაფიკია დაშვებული, სანამ გვირაბი გამორთულია. არც ერთი არ იძლევა მუშა უკაბელო ბმულს და არც ერთი არ ამტკიცებს, რომ საბოლოო წერტილი სუფთაა. აირჩიეთ ცალსახად: დახურული უკმარისობა იმ აპლიკაციებისთვის, რომლებმაც არასოდეს უნდა გამოიყენონ ლოკალური გზა, და დაუშვით ჩვეულებრივი დათვალიერება გვირაბის გარეთ, თუ ეს მისაღებია.

ჩაწერეთ არჩევანი, რადგან უმეტეს კლიენტში ნაგულისხმევი არც ერთია და ის ვერსიის მიხედვით იცვლება. შემდეგ მოაწყვეთ ალტერნატიული წვდომის გზა, თუ ხელმისაწვდომობა მნიშვნელოვანია, მაგალითად ტელეფონის ჰოთსპოტი საკუთარი მონაცემთა გეგმით. მისაღებ მიღების ტესტს სამი ცალკე შედეგი აქვს: განკუთვნილი ტრაფიკი იყენებს დადასტურებულ გვირაბს, უკავშირო ლოკალური მსმენელები მიუწვდომელია და გაუმართაობა წარმოქმნის თქვენს მიერ არჩეულ ქცევას.