საერთო VPN ანგარიში: მოწყობილობების ლიმიტი კლიენტების იზოლაცია არ არის

რვა ერთდროული კავშირი ლიცენზიის გვერდიდან აღებული რიცხვია და არაფერს ამბობს იმაზე, თუ რა შეუძლიათ ამ რვა მოწყობილობას ერთმანეთს. საერთო შესვლა შეიძლება არსებობდეს სესიაზე დამოკიდებულ გასაღებებთან ერთად და ასევე შეიძლება არსებობდეს იმ კარიბჭესთან, რომელიც სიამოვნებით გადასცემს ერთი კლიენტის ტრაფიკს მეორეს. შეცდომა ანგარიშის უსაფრთხოების საზღვრად მიჩნევაა. ამის ნაცვლად დასვით ოთხი ცალკე კითხვა: რა შეიძინეს, რა იცავს გვირაბს, რა შეიძლება გაიაროს თანატოლებს შორის და რამ შეიძლება ჩამოაგდოს ადგილობრივი რგოლი.

რას გვპირდება კავშირის ნებართვა სინამდვილეში

მოწყობილობების ლიმიტი ითვლის, რამდენ სესიას მიიღებს მომწოდებელი ერთი გამოწერისთვის. ეს კომერციული და ოპერაციული კონტროლია და არა განცხადება იდენტობაზე ან იზოლაციაზე. ზოგი მომწოდებელი ერთი ანგარიშის ქვეშ თითოეული მოწყობილობისთვის ცალკე სერტიფიკატს გასცემს, სხვები კი ყოველ კავშირზე ერთსა და იმავე სერტიფიკატს ხელახლა იყენებენ. განსხვავება გაუქმებისას ჩნდება, რადგან ცალკე მონაცემები საშუალებას გაძლევთ ერთი მოწყობილობა მოწყვიტოთ, ხოლო საერთო ასეთ არჩევანს არ გიტოვებთ.

წაიკითხეთ, როგორ გასცემს მომწოდებელი მონაცემებს, სანამ გასაღებების გამოყოფაზე რამეს ივარაუდებთ. ანგარიშის სახელი თავისთავად არაფერს ამხელს.

შეამოწმეთ, გადასცემს თუ არა კარიბჭე კლიენტებს შორის

თანატოლებს შორის ხელმისაწვდომობა სერვერის მხარის გადაწყვეტილებაა. OpenVPN-ზე შესაბამისი გადამრთველი არ არსებობს, თუ ის კონფიგურაციაში არ მოდის, მაგრამ თანამედროვე მონაცემთა სიბრტყის განტვირთვა ცვლის, სად მოქმედებს წესი.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

ამ მითითების გარეშე კონფიგურაცია თანატოლთა ტრაფიკს ჰოსტის კედელს უტოვებს, რომელმაც შეიძლება მაინც დაუშვას ის. როცა განტვირთვა აქტიურია, გვირაბის ინტერფეისს მომხმარებლის სივრცის პროცესის ნაცვლად ბირთვი მართავს, ამიტომ შეამოწმეთ წესების მთვლელები და ნუ ენდობით ფაილს. გვირაბის მისამართებს შორის გადაცემული ტრაფიკის დაბლოკვა კლიენტებს იზოლირებს კარიბჭეზე მათი წვდომის შეუხებლად. დაადასტურეთ ეს ერთი კლიენტიდან მეორეზე არსებულ სერვისამდე შემოწმებით, წესამდე და მის შემდეგ.

დაიცავით სესია თანატოლებამდე

გვირაბის დაცვა და თანატოლთა წვდომა სხვადასხვა თვისებაა და ძლიერი შიფრი იზოლაციას არ ნიშნავს. TLS რეჟიმში თითოეული კლიენტი თავისი სესიის გასაღებს იღებს, ამიტომ ერთი კლიენტი მეორის ტრაფიკს ვერ წაიკითხავს, მაშინაც კი როცა კარიბჭე მას გადასცემს. ძველი სტატიკური გასაღების სქემა ერთ გასაღებს ყველას შორის ყოფს, სწორედ ამიტომ იქ შესვლის ხელახალი გამოყენება ბევრად უარეს შედეგებს იწვევს. შეისწავლეთ კონფიგურირებული რეჟიმი და არა მარკეტინგის გვერდი, შემდეგ შეაფასეთ შეესაბამება თუ არა ანგარიშის გაზიარება შესაბამის მონაცემებს.

თითოეულ ჰოსტზე სერვისის ავთენტიფიკაცია კვლავ მნიშვნელოვანია, რადგან გვირაბი მხოლოდ იმას ამტკიცებს, რომ კლიენტმა ქსელს მიაღწია და არა იმას, რომ მან კონკრეტულ დემონს უნდა მიაღწიოს.

ადგილობრივი Wi-Fi-ის ჩავარდნები VPN-ის დარღვევა არ არის

ჩაწყვეტილი კავშირი ამტკიცებს, რომ ადგილობრივი რგოლი ჩავარდა და არა ის, რომ ვინმემ გვირაბი გატეხა. ჩარევა, დაკარგული DHCP იჯარა და როუმინგის გადაცემა ყველა ამთავრებს სესიას მონაცემებისა და შიფრტექსტის შეუხებლად. გათიშვა განიხილეთ ხელმისაწვდომობის აღმოჩენად და გამოყავით ის კონფიდენციალურობისა და თანატოლთა წვდომის აღმოჩენებისგან. სადაც ადგილობრივი ქსელი სანდო არ არის, დაიცავით ტრაფიკი ბოლოდან ბოლომდე და ნუ დაეყრდნობით მხოლოდ გვირაბს.

ჩამოწერეთ ოთხი პასუხი: ნებართვა, გასაღების მოდელი, თანატოლთა პოლიტიკა და ადგილობრივ რგოლზე დამოკიდებულება. ეს ჩანაწერი საერთო ანგარიშის შესახებ ბუნდოვან შფოთს კონკრეტულ კონტროლებად აქცევს.