ಹಂಚಿದ ಪಿಸಿಯಲ್ಲಿ ಒಂದು VPN ಲಾಗಿನ್: ರೂಟ್ ಇನ್ನಾರಿಗೆ ಸಿಗುತ್ತದೆ?
VPN ಲಾಗಿನ್ ಒಬ್ಬ ವ್ಯಕ್ತಿಯನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ; ಅದು ಸ್ಥಾಪಿಸುವ ರೂಟ್ ಬೇರೆ ವ್ಯಾಪ್ತಿ. ಹಂಚಿದ ಯಂತ್ರದಲ್ಲಿ ಹೋಸ್ಟ್-ವ್ಯಾಪಿ, ಪ್ರತಿ-ಬಳಕೆದಾರ ಮತ್ತು ಪ್ರತಿ-ಅಪ್ಲಿಕೇಶನ್ ಸುರಂಗಗಳನ್ನು ಹೋಲಿಸಿ.
ಕೆಲಸದ ಕೇಂದ್ರವನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದು ಒಬ್ಬ ಬಳಕೆದಾರನ ಲ್ಯಾಪ್ಟಾಪ್ ಎಂದಿಗೂ ಉತ್ತರಿಸಬೇಕಾಗಿಲ್ಲದ ಪ್ರಶ್ನೆಯನ್ನು ಎತ್ತುತ್ತದೆ: ಒಬ್ಬ ವ್ಯಕ್ತಿ ಸುರಂಗವನ್ನು ದೃಢೀಕರಿಸಿದ ಮೇಲೆ ಅದನ್ನು ಇನ್ನಾರು ಬಳಸಬಹುದು? ಲಾಗಿನ್ ಒಂದು ವಿಷಯವನ್ನು ಗುರುತಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಸ್ಥಾಪಿಸುವ ರೂಟ್ ಒಂದು ವ್ಯಾಪ್ತಿಯನ್ನು ವಿವರಿಸುತ್ತದೆ, ಮತ್ತು ಈ ಎರಡೂ ಒಂದೇ ವಸ್ತುವಲ್ಲ. ಅವುಗಳ ನಡುವೆ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂ, ಕ್ಲೈಂಟ್ನ ಸಂರಚನೆ ಮತ್ತು ಖಾಸಗಿ ಸೇವೆ ಸ್ವತಃ ಬೇಡುವುದು ಇರುತ್ತದೆ. ಊಹಿಸದೆ ಉತ್ತರಿಸಲು ಜಾರಿ ಬಿಂದುಗಳನ್ನು ಹೋಲಿಸುವುದೇ ಏಕೈಕ ದಾರಿ.
ಒಂದು ಲಾಗಿನ್, ಹಲವು ವ್ಯಾಪ್ತಿ
ದೃಢೀಕರಣ ಯಾರನ್ನು ಒಳಗೆ ಬಿಡಲಾಯಿತು ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ರೂಟ್ ಯಾವ ಪ್ಯಾಕೆಟ್ಗಳು ಸುರಂಗದಿಂದ ಹೊರಬರಬಹುದು ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಅಧಿಕಾರ ಯಾವ ಸೇವೆ ಪರಿಣಾಮದ ಸಂಪರ್ಕವನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಮೂರರಲ್ಲಿ ಯಾವುದೂ ಮುಂದಿನದನ್ನು ಸೂಚಿಸುವುದಿಲ್ಲ.
ಹೋಸ್ಟ್-ವ್ಯಾಪಿ ಸುರಂಗ ಸಾಮಾನ್ಯ ಡೀಫಾಲ್ಟ್, ಮತ್ತು ಅದು ಕಂದಕವನ್ನು ಸ್ಪಷ್ಟಗೊಳಿಸುತ್ತದೆ. ರೂಟ್ ಕರ್ನಲ್ನ ಕೋಷ್ಟಕದಲ್ಲಿದೆ, ಹಾಗಾಗಿ ಆ ಕೋಷ್ಟಕವನ್ನು ಬಳಸುವ ಪ್ರತಿಯೊಂದು ಪ್ರಕ್ರಿಯೆ ಖಾಸಗಿ ಜಾಲವನ್ನು ತಲುಪಬಹುದು, VPN ಸಂವಾದವನ್ನು ಎಂದೂ ನೋಡದ ಬಳಕೆದಾರ ಪ್ರಾರಂಭಿಸಿದ ಪ್ರಕ್ರಿಯೆಯೂ ಸೇರಿದಂತೆ. ಇದು ಸುರಂಗದ ನ್ಯೂನತೆಯಲ್ಲ; ವ್ಯವಸ್ಥೆ-ವ್ಯಾಪಿ ರೂಟ್ನ ಅರ್ಥವೇ ಇದು. ಖಾಸಗಿ ಸೇವೆ ಇನ್ನೂ ಸಂಪರ್ಕವನ್ನು ನಿರಾಕರಿಸಬಹುದು, ಆದ್ದರಿಂದ ತಲುಪುವಿಕೆ ಮತ್ತು ಅನುಮತಿಗೆ ಪ್ರತ್ಯೇಕ ಉತ್ತರಗಳು ಬೇಕು.
ಪರೀಕ್ಷೆಗೆ ಮೊದಲು ನಾಲ್ಕು ಪ್ರಶ್ನೆಗಳನ್ನು ಬರೆಯುವುದು ಪರಿಶೀಲನೆ ಅವುಗಳಲ್ಲಿ ಒಂದಕ್ಕೆ ಕುಗ್ಗದಂತೆ ತಡೆಯುತ್ತದೆ.
ಗಡಿ ವಾಸ್ತವವಾಗಿ ಎಲ್ಲಿದೆ
ನಾಲ್ಕು ಜೋಡಣೆಗಳು ಹೆಚ್ಚಿನ ಯಂತ್ರಗಳನ್ನು ಆವರಿಸುತ್ತವೆ: ಹೋಸ್ಟ್-ವ್ಯಾಪಿ ಸುರಂಗ, ಪ್ರತಿ-ಬಳಕೆದಾರ ಸಂಪರ್ಕ, ಪ್ರತಿ-ಅಪ್ಲಿಕೇಶನ್ ಅನುಮತಿ ಪಟ್ಟಿ ಮತ್ತು ಪ್ರತ್ಯೇಕ ಜಾಲನಾಮಸ್ಥಳ ಅಥವಾ ವರ್ಚುವಲ್ ಯಂತ್ರ.
ಪ್ರತಿಯೊಂದೂ ಜಾರಿ ಬಿಂದುವನ್ನು ಬೇರೆಡೆ ಇಡುತ್ತದೆ, ಮತ್ತು ಲೇಬಲ್ಗಳಿಗಿಂತ ವ್ಯತ್ಯಾಸಗಳು ಮುಖ್ಯ. ಪ್ರತಿ-ಬಳಕೆದಾರ ಸಂಪರ್ಕವನ್ನು ಪ್ರೊಫೈಲ್ನ ಅನುಮತಿಗಳು ಜಾರಿಗೊಳಿಸುತ್ತವೆ, ಡೆಸ್ಕ್ಟಾಪ್ ಲಾಗಿನ್ ಪರದೆ ಅಲ್ಲ. ಪ್ರತಿ-ಅಪ್ಲಿಕೇಶನ್ ಅನುಮತಿ ಪಟ್ಟಿಯನ್ನು ಕ್ಲೈಂಟ್ನ ಒಳಗೆ ಜಾರಿಗೊಳಿಸಲಾಗುತ್ತದೆ, ಅದು ಏನನ್ನು ಸಾಗಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ನಾಮಸ್ಥಳ ಅಥವಾ VM ಇಂಟರ್ಫೇಸ್ ಗಡಿಯಲ್ಲಿ ಜಾರಿಗೊಳಿಸುತ್ತದೆ, ಹಾಗಾಗಿ ಒಳಗಿನ ಪ್ರಕ್ರಿಯೆ ಹೋಸ್ಟ್ನ ರೂಟ್ ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನೋಡಲಾರದು. ಯಂತ್ರದಲ್ಲಿನ ಲಾಗಿನ್ ಪರದೆಗಳ ಸಂಖ್ಯೆ ಅವುಗಳ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
ಕೋಷ್ಟಕವನ್ನು ಸಾಲು ಸಾಲಾಗಿ ಓದುವುದು ನಿಜವಾದ ಪ್ರಶ್ನೆ ಪ್ರತ್ಯೇಕತೆ ಇದೆಯೇ ಎಂಬುದಲ್ಲ, ಅದು ಎಲ್ಲಿ ಜಾರಿಯಾಗಿದೆ ಎಂಬುದು ಎಂದು ತೋರಿಸುತ್ತದೆ.
ನಾಲ್ಕು ಜಾರಿ ಬಿಂದುಗಳನ್ನು ಹೋಲಿಸಿ
Linux ನಲ್ಲಿ ರೂಟ್ ಕೋಷ್ಟಕವೇ ಮೊದಲು ಪರಿಶೀಲಿಸಬೇಕಾದದ್ದು, ಏಕೆಂದರೆ ಹೋಸ್ಟ್-ವ್ಯಾಪಿ ಸುರಂಗ ಅಲ್ಲಿ ಕಾಣುತ್ತದೆ ಮತ್ತು ನಾಮಸ್ಥಳ ಕಾಣುವುದಿಲ್ಲ. ಎರಡನೇ ಬಳಕೆದಾರರಾಗಿ ಹುಡುಕಾಟ ನಡೆಸುವುದು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಹಂತ; ಉತ್ತರ ಅವರು ತಾವಾಗಿ ಪಡೆದದ್ದಕ್ಕಿಂತ ಭಿನ್ನವಾಗಿರುತ್ತದೆ, ಮತ್ತು ಅದೇ ವರದಿಯನ್ನು ವಿವರಿಸುತ್ತದೆ.
ಮುಂದಿನ ಎರಡು ಪರಿಶೀಲನೆಗಳು ರೂಟಿಂಗ್ಗಿಂತ ನೀತಿಯನ್ನು ನೋಡುತ್ತವೆ. UID ಗೆ ಹೊಂದುವ ಫೈರ್ವಾಲ್ ನಿಯಮ ಸ್ಥಳೀಯವಾಗಿ ಉತ್ಪಾದಿಸಿದ ಸಂಚಾರಕ್ಕೆ ಅನ್ವಯಿಸುತ್ತದೆ, ಹಾಗಾಗಿ ಅದು ಒಂದೇ ಹೋಸ್ಟ್ನಲ್ಲಿ ಇಬ್ಬರು ಬಳಕೆದಾರರನ್ನು ಬೇರ್ಪಡಿಸಬಹುದು, ಇಬ್ಬರೂ ರೂಟ್ ಹಂಚಿಕೊಂಡರೂ ಸಹ. ಸ್ಪಷ್ಟ ಅನುಮತಿ ಪಟ್ಟಿಯಿರುವ ಸಂಪರ್ಕ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವಾಗ ಜಾಲ ವ್ಯವಸ್ಥಾಪಕ ಜಾರಿಗೊಳಿಸುತ್ತದೆ. ಯಾವ ಪರಿಶೀಲನೆಯೂ ಸುರಂಗವನ್ನು ಬದಲಿಸುವ ಅಗತ್ಯವಿಲ್ಲ, ಆದ್ದರಿಂದ ಏನನ್ನೂ ಮರು ವಿನ್ಯಾಸ ಮಾಡುವ ಮೊದಲು ಅವನ್ನು ಮಾಡುವುದು ಯೋಗ್ಯ.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidಎರಡನೇ ಹುಡುಕಾಟ ಸುರಂಗದ ರೂಟ್ ಅನ್ನು ತೋರಿಸಿದರೆ, ಗಡಿ ವಿನ್ಯಾಸ ಊಹಿಸಿದ ಸ್ಥಳದಲ್ಲಿಲ್ಲ.
ಏಕಕಾಲಿಕ-ಅವಧಿ ನಿಯಮಗಳು ಪ್ರತ್ಯೇಕ ನಿಯಂತ್ರಣ
ಗೇಟ್ವೇಗಳು ಒಂದು ಖಾತೆ ಎಷ್ಟು ಅವಧಿಗಳನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳಬಹುದು ಎಂದು ಸಾಮಾನ್ಯವಾಗಿ ಮಿತಿಗೊಳಿಸುತ್ತವೆ, ಮತ್ತು ಆ ಮಿತಿಗೆ ಸ್ಥಳೀಯ ಬಳಕೆದಾರರೊಂದಿಗೆ ಯಾವ ಸಂಬಂಧವೂ ಇಲ್ಲ. ಅದು ಖಾತೆಯನ್ನು ಮಿತಿಗೊಳಿಸುತ್ತದೆ, ಹಾಗಾಗಿ ಅದೇ ರುಜುವಾತುಗಳಿಂದ ಸೈನ್ ಇನ್ ಆಗುವ ಎರಡನೇ ವ್ಯಕ್ತಿ ಮೊದಲನೆಯ ಸುರಂಗವನ್ನು ಕೊನೆಗೊಳಿಸಬಹುದು.
ಸ್ಥಳೀಯ ಪ್ರತ್ಯೇಕತೆಯ ಸಮಸ್ಯೆ ಎಂದು ಭಾವಿಸುವ ಮೊದಲು ವಿಫಲತೆಯನ್ನು ಓದಿ. ಅವಧಿ ಮಿತಿ ಗೇಟ್ವೇಯಲ್ಲಿ ಸಂಪರ್ಕ ಕಡಿತ ಉಂಟುಮಾಡುತ್ತದೆ, ವ್ಯಾಪ್ತಿಯ ಸಮಸ್ಯೆ ಕೆಲಸ ಮಾಡುವ ಆದರೆ ಇನ್ನೊಬ್ಬ ಬಳಕೆದಾರರ ಸಂಚಾರವನ್ನು ಸಾಗಿಸದ ಸುರಂಗವನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ಈ ಎರಡು ಲಕ್ಷಣಗಳು ಸಂಪೂರ್ಣವಾಗಿ ಬೇರೆ ಸರಿಪಡಿಸುವಿಕೆಗಳಿಗೆ ಕರೆದೊಯ್ಯುತ್ತವೆ. ಕ್ಲೈಂಟ್ನ ನಿಖರ ಸಂದೇಶವನ್ನು ಇರಿಸಿ, ಏಕೆಂದರೆ ಅದು ಸಾಮಾನ್ಯವಾಗಿ ನಿಯಮದ ಹೆಸರು ಹೇಳುತ್ತದೆ. ಮಿತಿಯನ್ನು ತಪ್ಪಿಸುವ ಬದಲು ಪ್ರೊಫೈಲ್ ಮಾಲೀಕರಿಂದ ಅನುಮೋದಿತ ಕೆಲಸದ ಹರಿವನ್ನು ಕೇಳಿ.
ವರ್ಚುವಲ್ ಯಂತ್ರ ಯಾರನ್ನೂ ಆ ನಿಯಮದಿಂದ ಹೊರತುಪಡಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಅದು ತನ್ನದೇ ಜಾಲ ಮತ್ತು ರುಜುವಾತು ವಿನ್ಯಾಸವನ್ನು ಸೇರಿಸುತ್ತದೆ.
ನಿಮಗೆ ಮುಖ್ಯವಾದ ಸಂದರ್ಭವನ್ನು ಪರೀಕ್ಷಿಸಿ
ಉದ್ದೇಶಿತ ಬಳಕೆದಾರ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ, ನಂತರ ನಿರಾಕರಿಸಬೇಕಾದ ಸಂದರ್ಭವನ್ನು ಪರೀಕ್ಷಿಸಿ. ಮೂಲ ಗುಪ್ತಪದ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುವ ಪರಿಶೀಲನೆ ದೃಢೀಕರಣವನ್ನು ಪರೀಕ್ಷಿಸಿದೆ, ಬೇರೇನನ್ನೂ ಅಲ್ಲ.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'ಪ್ರತಿ ಫಲಿತಾಂಶದ ಪಕ್ಕದಲ್ಲಿ ಜಾರಿ ಬಿಂದುವನ್ನು ದಾಖಲಿಸಿ: ರೂಟ್ ಕೋಷ್ಟಕ, UID ನಿಯಮ, ಪ್ರೊಫೈಲ್ ಅನುಮತಿ ಅಥವಾ ಗೇಟ್ವೇಯ ಅವಧಿ ನೀತಿ. ಆ ದಾಖಲೆ ಮುಂದಿನ ಬದಲಾವಣೆಯನ್ನು ಪರಿಶೀಲನೀಯಗೊಳಿಸುತ್ತದೆ. ಯಾರಾದರೂ ಎರಡನೇ ಲಾಗಿನ್ ಪರದೆಯನ್ನು ಗಮನಿಸಿದಾಗಲೆಲ್ಲಾ ಅದೇ ಪ್ರಶ್ನೆ ಮತ್ತೆ ತೆರೆಯದಂತೆಯೂ ಅದು ತಡೆಯುತ್ತದೆ. ತಲುಪುವಿಕೆ ಅಧಿಕಾರವಲ್ಲ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಪ್ರತ್ಯೇಕತೆಯಲ್ಲ.