Сенімсіз VPN — бұл үш бөлек шекара, бір шекара емес

«Мен бұл VPN-ге сенбеймін» деген сөз әдетте бір сөйлемге киіндірілген үш тұжырым. Сол желідегі қашықтағы әріптестер хостыңыздағы қызметтерге жете алады, туннельді басқаратын оператор одан өтетін трафикті көре алады, ал сіз орнатқан клиенттік бағдарлама машинаңыздың желілік саясатын өзгерте алады. Түзетуге тұрарлық сенім — брандмауэр ережесі, виртуалды машина немесе операциялық жүйені мұқият таңдау үшеуіне де жауап береді деген ой. Әрбір шара олардың дәл біреуіне жауап береді.

Аңыз: бір бақылау бүкіл тәуекелді жабады

Кәдімгі болжам — сенімсіз желіге қосылу бір шешім және бір жұмсарту. Адамдар өздері сенетін бақылауды таңдап, оны қолданып, тәуекелді біткен деп санайды: брандмауэр қосулы, жұмыс кеңістігі бір реттік, клиент беделді жеткізушіден келген.

Бұл бақылаулар болжам айтқандай қабаттаспайды. Хосттағы брандмауэр қашықтағы әріптестің қайда жете алатынын шектейді және TLS-іңізді тоқтататын операторға қарсы ештеңе істемейді. Виртуалды машина жұмыс кеңістігін хост файлдарыңыздан бөледі және екеуінің астындағы желілік стекті қайта конфигурациялауға рұқсат етілген клиенттік құрамдасқа қарсы ештеңе істемейді. Әрбір бақылаудың шынымен жасайтын шекарасын атау — бүкіл жаттығу осы.

Оларды бөлу қандай тәуекелді қабылдауды таңдағаныңызды да айтады. Нақты шешімдердің көбі бір шекараны жұмсартып, екіншісіне төзеді, бұл өзгеріс жазбасы қайсысы қайсысы екенін айтқанша жарайды.

Қашықтағы әріптес шынымен қайда жете алады

Тыңдайтын қызметтерден бастаңыз. Пакеттері шифрланып келгендіктен кең сенімді деп қаралатын туннель интерфейсі — кәдімгі қате, ол сол желідегі кез келген басқа адам үшін әрбір жергілікті тыңдаушыны ықтимал нысанға айналдырады. Шифрлау екі шеткі нүктенің арасындағы сымды қорғайды; ол арғы жақтағы әріптестің ниеті туралы ештеңе айтпайды.

ss -tulpn
sudo nft list ruleset
ip -br addr

Қызметтерді әрбір интерфейске емес, оларға қажет мекенжайға байлаңыз және бекітілген тапсырма талап ететін операцияларға ғана рұқсат беріңіз. Жіберуді, көпірлеуді және қолданба проксиін ашық ұстаңыз, өйткені екі желілік қосылым өздігінен транзитті жол жасамайды, бірақ прокси ережесі сөзсіз жасай алады.

Бекітілген бір реттік жұмыс кеңістігі қашықтағы желінің қайда жете алатынын азайтады, бірақ оның бөлісу конфигурациясы тұжырымға сәйкес келгенде ғана. Ортақ қалталар, алмасу буферінің интеграциясы, тіркелгі деректерінің агенттері және басқару арналары — бәрі жұмыс кеңістігі жасауы тиіс шекарадан өтеді. Жұмыс кеңістігінің белгісі олардың қайсысы ашық екенін дәлелдемейді.

NIST-тің нөлдік сенім архитектурасы осының бәрінің артындағы ұстанымды айтады: тек желілік орын ғана жасырын сенім бермейді. Туннель қабылданғаннан кейін де ресурсты аутентификациялаудың жұмысы бар, және бұл желіні тағы кім бөлісетіні туралы сұрақтың да.

Жолдағы оператор нені көре алады

VPN трафигіңізді жолдың басқа жеріне жылжытады; ол қолданба шифрлауын қоспайды. Егер провайдер TLS-іңізді тоқтатса, провайдер браузеріңіз әйтпесе қорғайтын нәрсені оқи алады, және ешбір жергілікті брандмауэр ережесі мұны өзгертпейді.

Нақты межелі орын үшін қалыпты сертификат тексеруін сақтаңыз және шешуші мен метадеректер жолын түсініңіз, өйткені DNS сұрауы өзінен бұрын жүретін жүктемеден көбін аша алады. Тек метадеректер, яғни қай мекенжайлармен және қашан байланысқаныңыз, көбіне мазмұнды оқуға ешқандай қажеттіліксіз оператордың сұрағына жауап береді. Сондықтан «трафик шифрланған» және «трафик жеке» — әртүрлі тұжырымдар.

Егер бұл көріну тапсырма үшін қабылданбайтын болса, жауап — көбірек жергілікті сүзгі емес, басқа бекітілген архитектура. Жергілікті сүзгі бақылаушыны ол әлі отырған жолдан алып тастай алмайды.

Жергілікті клиент нені өзгерте алады

Бұл — адамдар өткізіп жіберетін шекара, және қалған екеуін мағынасыз ететін де осы. Linux-та CAP_NET_ADMIN өзінің желілік контекстінде интерфейс конфигурациясын, брандмауэр әкімшілігін және маршрут өзгерістерін қамтиды. Осы қабілеті бар бағдарлама жаңа жазылған саясатты қайта жаза алады.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Желілік атау кеңістігі желілік күй үшін шынайы шекара және қалғанының бәрі үшін нашар: ол файлдық жүйені немесе тіркелгі деректері қоймасын оқшауламайды. Оны бүкіл мәселенің контейнері емес, бір қабат ретінде қарастырыңыз.

Клиентті және оның конфигурациясын қолдау көрсетілетін көзден алыңыз, ол сұрайтын өкілеттікті қарап шығыңыз және артықшылығы бар құрамдастарды әкімші бақылауында ұстаңыз. Виртуалды машина құнды тіркелгі деректерінің қасында түсіндірілмеген орнатушыны іске қосуға рұқсатқа айналмай-ақ білікті бағалау шекарасының бөлігі бола алады. Орнатушы оған берген қандай өкілеттікпен болса да жұмыс істейді, және сол өкілеттік — шекара.

Қандай шекараны қабылдағаныңызды жазыңыз

Төрт нәрсені атайтын сөйлеммен аяқтаңыз: сенімді жергілікті код, рұқсат етілген қашықтағы қатынас, қорғалған қолданба деректері және қалатын оператор қатынасы. Бұл сөйлем VM, операциялық жүйе немесе антивирустық өнім қауіпті желіні қауіпсіз етті деген жалпы тұжырымнан құндырақ.

Содан кейін тар операцияның жұмыс істейтінін және талап етілген бас тарту әлі күшінде екенін растаңыз, туннель құлағаннан кейін де. Тек туннель көтерілген кезде ғана бар шекара — сіз құжаттаған шекара емес.

Бірде-бір тест барлық осалдықтың жоқ екенін дәлелдемейді, және керісінше тұжырымдайтын шолу асыра айтады. Адал нәтиже қалған тәуекелді және оны қабылдаған адамды атайды.