Неліктен ортақ TAP VPN порталда әлі де HTTPS қажет етеді
TAP VPN әріптесті аутентификациялайды, оның артындағы қызметті емес. Порталда хост атауын тексеруді сақтап, сенбейтін көршілерді оқшаулаңыз.
Екі құрылғының жарамды VPN тіркелгі деректері бар және бір көпірленген Ethernet сегментін бөліседі. Олардың тек біреуі ғана кеңсе порталы үшін жауап беруі керек, ал екіншісі сол сегментте портал мекенжайын әлі де талап ете алады. Туннель өз жұмысын атқарды: ол екі әріптесті де аутентификациялап, серверге дейінгі әр жолды шифрлады. Ол жасамағаны — олардың қайсысы қызмет атауына ие екенін куәландыру, және дәл осы олқылық порталға әлі де жарамды сертификат қажет болуының себебі.
VPN шын мәнінде нені аутентификациялайды
VPN қол алысуы бір сұраққа жауап береді: қай әріптес бұл туннельді қандай кілт материалымен аяқтады. Бұл жауап әр әріптес пен әр қосылымға қатысты және сол әріптес кейін ұсынатын қызметтер туралы ештеңе айтпайды. TAP сегментінде әріптес тіпті бір мекенжай да емес, өйткені көпір үйренуге дайын кез келген MAC пен кез келген IP-ны ұсына алады. Аутентификация туннельдің соңғы нүктесінде тоқтайды, қосымшада емес.
Үш сұрақты біріне біріктірудің орнына бөлек қарастырыңыз. Әрқайсысының өз механизмі және өз істен шығу тәсілі бар.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Орналастыруда толық аутентификацияланған туннель және оның артында мүлдем аутентификацияланбаған қызмет болуы мүмкін. Сондай-ақ екінші деңгей мекенжайын басқа әріптес талап етіп отырған хостта тексерілген сертификат болуы мүмкін, сондықтан дизайнда біреуі екіншісін алмастырмай, екі бақылау да болуы керек. Кесте — бүкіл дәлел үш жолда.
Ортақ сегменттегі ARP — анықтамалық емес
ARP жергілікті байланыстағы IPv4 мекенжайын MAC-ке сәйкестендіреді және сол байланыстағы кез келгеннен жауап қабылдайды. Рұқсатшыл көпірленген сегментте әріптес басқа құрылғыға тиесілі мекенжайды талап ете алады, ал көпір кадрларды соңғы болып жауап бергенге жібереді. Әр клиент жолын серверге дейін шифрлау мұны өзгертпейді, өйткені кадрлар көпірге жетпей тұрып шифрсыздандырылады. ARP сенім шекарасы — туннель емес, сегмент.
Хост шын мәнінде нені үйренгенін қараңыз: ip neigh show ағымдағы сәйкестендірулер мен олардың күйін тізімдейді, ал қалыпты жұмыс кезінде екі MAC мекенжайы арасында ауысатын жазба — елемеудің орнына зерттеуге тұрарлық белгі. Салауатты шағын сегментте мұндай жазбалар ұзақ уақыт тұрақты болады.
Әріптестерді оқшаулау және көпір саясаты дәл осы жағдай үшін бар. Қызмет тек IP болғанда және құрылғылардың бір-бірінің кадрларын көруге еш себебі болмағанда, маршрутталған дизайн әдетте жақсырақ жауап.
Сертификатты тексеруді қызмет орналасқан жерде ұстаңыз
Қосымшаның TLS-і туннель бере алмайтын сұраққа жауап береді: бұл мен жеткім келген қызмет пе? Браузер хост атауын сертификатпен салыстырады, және бұл тексеру тізбектің әріптесті емес, порталды атайтын жалғыз бөлігі.
Ескертуді тек сыртқы нәрсе деп шешпес бұрын сервердің нені ұсынатынын қараңыз. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal тізбекті және субъектінің балама атауларын басып шығарады. Енгізген атауыңыз сол тізімде болмаса, ескерту дұрыс және түзету керек нәрсе — сертификат. Пайдаланушыларды одан өтуге үйрету жұмыс істейтін бақылауды әшекейге айналдырады.
OpenVPN көпірлеу нұсқаулығы Ethernet моделін және оның айналасындағы саясат нұсқаларын сипаттайды, және сегменттің нені рұқсат етуі керектігі туралы дұрыс сілтеме осы. Көпір ережесін босатудың алдында оны оқып шығыңыз, өйткені онда сипатталған модель — жоғарыдағы әрбір тексеру болжайтын нәрсе.
Бұл әріптестер сегментті мүлдем бөлісуі керек пе, соны шешіңіз
Ең арзан түзету — талап тек IP қолжетімділігі болғанда екінші деңгейді бөлісуді тоқтату. Маршрутталған VPN әр клиентке өз мекенжайын береді, ортақ хабар тарату доменін жояды және әріптестар арасындағы трафикті әдепкі мәннің орнына саяси шешімге айналдырады. Сонда порталдың қорғайтын бір мекенжайы болады және оны талап ете алатын көршісі қалмайды.
Егер сегмент қалуы керек болса, клиенттердің бір-біріне жетуіне мүмкіндік беретін сервер жағындағы параметрді тексеріңіз: grep -n client-to-client /etc/openvpn/server.conf. Ол өшірулі болса, клиент трафигі сервер арқылы өтеді және сол жерде сүзілуі мүмкін. Ол қосулы болса, әріптестер кадрларды тікелей көпір арқылы алмасады, ал сүзу нүктелеріңіз — көпір мен хосттың қауіпсіздік қабырғасы.
Әр хост шын мәнінде қандай қорғаныстарға сүйенетінін жазып қойыңыз: туннель аутентификациясы, сегментті оқшаулау немесе қосымша TLS. Үшеуіне де сүйенетін хост дұрыс. Ал біріншісіне сүйеніп, қалған екеуі онымен бірге келді деп есептейтін хост — соңында дұрыс емес мазмұнды ұсынатын хост.