Қоғамдық Wi-Fi және VPN: туннель нені қамтымайды

Жасыл белгі, риза портал, жұмыс істеп тұрған браузер: бұл бүкіл көрінетін әңгіме. Белгінің қалдырып кететіні — шифрланған байланысты сізді одан қорғауға тиіс сол сымсыз буынның өзі тасымалдайды. Ол буын әр пакетті әлі де жеткізеді, барар мекенжайды әлі де көреді және бірдеңе жететін-жетпейтінін әлі де шешеді. Қонақүй қосылымының ноутбук жағын қарап шығу туннель қай бөліктерді қамтитынын және қайсысын өзіңізге қалдыратынын көрсетеді.

Қатынау буыны бәрін тасымалдайды

IPsec ESP туннелі қорғалған ішкі пакетті желі маршруттай алатын сыртқы тақырыпқа орайды, ал RFC 4303 3.1.2-бөлім осы бөліністі түсіндіреді. Ішкі пакет — туннель қорғайтын нәрсе. Сыртқы тақырыпты хотспот оны жіберу үшін оқиды. Басқа жобалар басқаша капсулалайды, бірақ жоспарлау сұрағы бірдей: бұл байланысты қай қатынау жолы тасымалдайды?

Шлюздің істен шығуы немесе пакеттерді тастайтын буын мазмұнды ашпай жеткізуді тоқтатады. Неғұрлым күшті шифрға көшу бұған ештеңе істемейді, өйткені жетіспейтін бөлік — криптография емес, тасымал. Сәтті жеткізу қарсы бағытта да соншалық аз дәлелдейді, өйткені жұмыс істейтін жол екі машинаның ешқайсысының күйі туралы ештеңе айтпайды.

Ноутбуғыңыздың әлі де өз есіктері бар

Сенімсіз сегментке қосылу машинаңыз тыңдайтын порттарға кімнің жете алатынын өзгертеді. Файл бөлісу қызметі, қашықтан басқару агенті немесе барлық интерфейстерге байланған әзірлеу сервері сол сегменттегі кез келген адамға қолжетімді, егер бірдеңе оны тоқтатпаса. Туннельге ешқашан кірмейтін трафик онымен қорғалмайды. Туннель көтерілмей тұрып жауап беретін тыңдаушы дәл сол терезе үшін ашық.

Талап тар және оны дәл тұжырымдауға тұрарлық: ноутбук VPN-нің соңғы нүктесіне жетуі керек, ал хотспоттағы қатыссыз құрылғылар жергілікті қызметтерге жетпеуі керек. Хосттың firewall ережелері осы шекараны білдіреді, ал платформаның өз бөлісу параметрлері де оның бір бөлігін білдіреді. Принтер немесе портал қадамы — қасақана қосатын шектеулі ерекшелік, бүкіл хотспот кеңселік LAN сеніміне лайық деген дәлел емес.

Кейбір ұйымдар жұмыс байланысы белсенді кезде жергілікті қатынауды да шектейді, бұл инженерия емес, саясат. Шеткі құрылғы жұмыс істеуі үшін firewall-ды өшіруден бұрын сол саясатты оқыңыз.

Шын мәнінде ненің тыңдап жатқанын тексеріңіз

Параметрлер бетіне емес, сокеттерге қараңыз, өйткені бет ниетті сипаттайды, сокет кестесі машинаны сипаттайды. Төмендегі екі тізім әр тыңдайтын сокетті көрші жете алатын сокеттерден бөледі. Оларды туннельді қоспас бұрын сенімсіз сегментте іске қосыңыз.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Бірінші пәрмен әр сокетті көрсетеді, екіншісі loopback-тан тыс байланғандарға сүзеді. 0.0.0.0 немесе :: мекенжайындағы қызмет сымсызды қоса алғанда әр интерфейсте қолжетімді, ал 127.0.0.1 мекенжайындағы сол қызмет сегменттен мүлде қолжетімсіз. Шешуші сұранысы туннель пайда болмай тұрып атаудың қай жолды алатынын растайды, және дәл сонда тұтқынға түскен порталдар араласады. Қосылғаннан кейін тізімді қайталаңыз, өйткені кейбір клиенттер жауапты өзгертетін интерфейстерді көтереді.

Тек туннель көтерілген кезде ғана пайда болатын порт азырақ ашық, бірақ ол туралы білу әлі де тұрарлық. Абсолюттік тізімді емес, айырманы жазыңыз, өйткені туннель қосқан нәрсе — дельта.

Сессия ортасында жаңа сәйкестікті қабылдамаңыз

Күтпеген маршрут өзгерісі, қайта қосылу немесе портал бағыттауы басқа сервер сәйкестігін қабылдауға рұқсат емес. Клиент сертификат немесе кілт сәйкессіздігін хабарласа, оны айналып өтуге тиіс байланыс емес, сәйкестік табысы ретінде қарастырыңыз. Портал жұмыс істеуі үшін түсіндірілмеген түбірлік сертификат орнату жеткізу мәселесін сенім мәселесіне айналдырады. Содан кейін сенім мәселесі оны тудырған сапардан ұзағырақ өмір сүреді.

Порталдың өз браузер ағынын пайдаланыңыз, содан кейін туннельді қайта қосып, клиент журналынан ол растаған сәйкестікті оқыңыз. Сәйкестік сәтсіздігі қарсы тараптың күткен адам еместігін білдіреді, ал жеткізу сәтсіздігі қарсы тараптың ешқашан жауап бермегенін білдіреді. Біріншісі тоқтауға себеп, екіншісі басқа жолды байқауға себеп.

Алдымен үзіліс кезіндегі мінезді шешіңіз

Мұнда екі түрлі функция шатастырылады. Қайта қосылу қызметті қалпына келтіруге тырысады, ал блоктау саясаты туннель өшіп тұрғанда қандай трафикке рұқсат етілетінін бақылайды. Екеуі де жұмыс істейтін сымсыз буын бермейді және екеуі де соңғы нүктенің таза екенін дәлелдемейді. Айқын таңдаңыз: жергілікті жолды ешқашан пайдаланбауы тиіс қолданбалар үшін жабық сәтсіздік, ал қолайлы болса, туннельден тыс қарапайым шолуға рұқсат.

Таңдауды жазыңыз, өйткені көптеген клиенттерде әдепкі екеуінің бірі емес және нұсқаға қарай өзгереді. Содан кейін қолжетімділік маңызды болса, балама қатынау жолын ұйымдастырыңыз, мысалы, өз деректер жоспары бар телефон хотспоты. Қолайлы қабылдау сынағының үш бөлек нәтижесі бар: көзделген трафик тексерілген туннельді пайдаланады, қатыссыз жергілікті тыңдаушылар қолжетімсіз, және үзіліс сіз таңдаған мінезді тудырады.