Ортақ VPN аккаунты: құрылғы шегі клиенттерді оқшаулау емес

Сегіз бір мезгілдегі қосылым — лицензия бетіндегі сан, ол осы сегіз құрылғының бір-біріне не істей алатыны туралы ештеңе айтпайды. Ортақ кіру сессия сайынғы кілттермен қатар өмір сүре алады, сондай-ақ бір клиенттің трафигін екіншісіне қуана жіберетін қақпамен де қатар өмір сүре алады. Қате — аккаунтты қауіпсіздік шекарасы деп санау. Оның орнына төрт бөлек сұрақ қойыңыз: не сатып алынды, туннельді не қорғайды, теңдестер арасында не өте алады және жергілікті байланысты не құлата алады.

Қосылым рұқсаты шын мәнінде не уәде етеді

Құрылғы шегі провайдердің бір жазылымға қанша сессия қабылдайтынын санайды. Бұл коммерциялық және операциялық бақылау, жеке бас немесе оқшаулау туралы мәлімдеме емес. Кейбір провайдерлер бір аккаунт аясында әр құрылғыға жеке сертификат береді, басқалары әр қосылымда бір тіркелгі дерегін қайта пайдаланады. Айырмашылық кері қайтарып алу кезінде көрінеді, өйткені бөлек деректер бір құрылғыны кесіп тастауға мүмкіндік береді, ал ортақ дерек мұндай таңдау қалдырмайды.

Кілттерді бөлу туралы бірдеңе болжамас бұрын провайдердің деректерді қалай беретінін оқыңыз. Аккаунт атауының өзі бұдан ештеңе ашпайды.

Қақпа клиенттер арасында жібере ме, соны тексеріңіз

Теңдестер арасындағы қолжетімділік — сервер жағындағы шешім. OpenVPN ішінде тиісті ажыратқыш конфигурацияда көрсетілмесе жоқ, бірақ заманауи деректер жазықтығын түсіру ереженің қайда қолданылатынын өзгертеді.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Бұл нұсқаулықсыз конфигурация теңдестер арасындағы трафикті хосттың өрт қабырғасына қалдырады, ол оны әлі де рұқсат етуі мүмкін. Түсіру белсенді болғанда туннель интерфейсін пайдаланушы кеңістігіндегі процесс емес, ядро басқарады, сондықтан файлға сенудің орнына ереже санауыштарын тексеріңіз. Туннель мекенжайлары арасында жіберілетін трафикті блоктау клиенттерді қақпаға қатынауына тиіспей оқшаулайды. Мұны бір клиенттен екіншісіндегі қызметке тексеру арқылы растаңыз, ережеге дейін де, кейін де.

Сессияны теңдестерден бұрын қорғаңыз

Туннель қорғанысы мен теңдестерге қатынау — әртүрлі қасиеттер, күшті шифр оқшаулауды білдірмейді. TLS режимінде әр клиент өз сессия кілттерін шығарады, сондықтан қақпа оны жіберсе де бір клиент екіншісінің трафигін оқи алмайды. Ескі статикалық кілт схемасы бір кілтті бәрінің арасында бөліседі, сондықтан онда кіруді қайта пайдалану әлдеқайда ауыр зардаптарға әкеледі. Маркетинг бетін емес, конфигурацияланған режимді қарап шығыңыз, содан кейін аккаунтты бөлісу тиісті деректерге сай келе ме, соны бағалаңыз.

Әр хостта қызметті аутентификациялау әлі де маңызды, өйткені туннель клиенттің желіге жеткенін ғана дәлелдейді, белгілі бір демонға жетуі керектігін емес.

Жергілікті Wi-Fi ақаулары VPN бұзылуы емес

Үзілген қосылым жергілікті байланыстың істен шыққанын дәлелдейді, біреудің туннельді бұзғанын емес. Кедергі, жоғалған DHCP жалдауы және роуминг ауысуы — барлығы тіркелгі деректері мен шифрмәтінді тиіспей сессияны аяқтайды. Үзілуді қолжетімділік тұжырымы ретінде қарастырып, оны құпиялылық және теңдестерге қатынау тұжырымдарынан бөлек ұстаңыз. Жергілікті желі сенімді болмаған жерде трафикті тек туннельге сүйенудің орнына ұшынан ұшына қорғаңыз.

Төрт жауапты жазып алыңыз: рұқсат, кілт моделі, теңдестер саясаты және жергілікті байланысқа тәуелділік. Бұл жазба ортақ аккаунт туралы бұлыңғыр алаңдаушылықты нақты бақылау шараларына айналдырады.