ಅವಿಶ್ವಾಸನೀಯ VPN ಮೂರು ಪ್ರತ್ಯೇಕ ಗಡಿಗಳು, ಒಂದಲ್ಲ

«ನಾನು ಈ VPN ಅನ್ನು ನಂಬುವುದಿಲ್ಲ» ಸಾಮಾನ್ಯವಾಗಿ ಒಂದೇ ವಾಕ್ಯದಲ್ಲಿ ಧರಿಸಿದ ಮೂರು ಹೇಳಿಕೆಗಳು. ಆ ಜಾಲದಲ್ಲಿನ ದೂರದ ಸಹವರ್ತಿಗಳು ನಿಮ್ಮ ಹೋಸ್ಟ್‌ನ ಸೇವೆಗಳನ್ನು ತಲುಪಬಹುದು, ಸುರಂಗವನ್ನು ನಡೆಸುವ ನಿರ್ವಾಹಕ ಅದರ ಮೂಲಕ ಹೋಗುವ ಸಂಚಾರವನ್ನು ನೋಡಬಹುದು, ಮತ್ತು ನೀವು ಸ್ಥಾಪಿಸಿದ ಕ್ಲೈಂಟ್ ತಂತ್ರಾಂಶ ನಿಮ್ಮ ಯಂತ್ರದ ಜಾಲ ನೀತಿಯನ್ನು ಬದಲಿಸಬಹುದು. ಸರಿಪಡಿಸಬೇಕಾದ ನಂಬಿಕೆ ಎಂದರೆ ಫೈರ್‌ವಾಲ್ ನಿಯಮ, ವರ್ಚುವಲ್ ಯಂತ್ರ ಅಥವಾ ಕರಾರುವಾಕ್ಕಾದ ಕಾರ್ಯಾಚರಣಾ ವ್ಯವಸ್ಥೆಯ ಆಯ್ಕೆ ಮೂರಕ್ಕೂ ಉತ್ತರಿಸುತ್ತದೆ ಎಂಬುದು. ಪ್ರತಿ ಕ್ರಮ ಅವುಗಳಲ್ಲಿ ನಿಖರವಾಗಿ ಒಂದಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ.

ಪುರಾಣ: ಒಂದು ನಿಯಂತ್ರಣ ಇಡೀ ಅಪಾಯವನ್ನು ಮುಚ್ಚುತ್ತದೆ

ಸಾಮಾನ್ಯ ಊಹೆ ಎಂದರೆ ಅವಿಶ್ವಾಸನೀಯ ಜಾಲಕ್ಕೆ ಸೇರುವುದು ಒಂದು ನಿರ್ಣಯ ಮತ್ತು ಒಂದೇ ತಗ್ಗಿಸುವಿಕೆ. ಜನರು ಈಗಾಗಲೇ ನಂಬುವ ನಿಯಂತ್ರಣವನ್ನು ಆರಿಸಿ, ಅದನ್ನು ಅನ್ವಯಿಸಿ, ಅಪಾಯವನ್ನು ಮುಗಿದದ್ದು ಎಂದು ಪರಿಗಣಿಸುತ್ತಾರೆ: ಫೈರ್‌ವಾಲ್ ಆನ್ ಆಗಿದೆ, ಕಾರ್ಯಕ್ಷೇತ್ರ ಎಸೆಯಬಹುದಾದುದು, ಕ್ಲೈಂಟ್ ಗೌರವಾನ್ವಿತ ಪೂರೈಕೆದಾರರಿಂದ ಬಂದಿದೆ.

ಈ ನಿಯಂತ್ರಣಗಳು ಊಹೆ ಸೂಚಿಸುವಂತೆ ಒಂದರ ಮೇಲೊಂದು ಹೊಂದಿಕೊಳ್ಳುವುದಿಲ್ಲ. ಹೋಸ್ಟ್ ಫೈರ್‌ವಾಲ್ ದೂರದ ಸಹವರ್ತಿ ಎಲ್ಲಿಗೆ ತಲುಪಬಹುದು ಎಂಬುದನ್ನು ಮಿತಿಗೊಳಿಸುತ್ತದೆ, ಮತ್ತು ನಿಮ್ಮ TLS ಅನ್ನು ಕೊನೆಗೊಳಿಸುವ ನಿರ್ವಾಹಕನ ವಿರುದ್ಧ ಏನನ್ನೂ ಮಾಡುವುದಿಲ್ಲ. ವರ್ಚುವಲ್ ಯಂತ್ರ ಕಾರ್ಯಕ್ಷೇತ್ರವನ್ನು ನಿಮ್ಮ ಹೋಸ್ಟ್ ಕಡತಗಳಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಎರಡರ ಕೆಳಗಿನ ಜಾಲ ಸ್ಟ್ಯಾಕ್ ಅನ್ನು ಮರುಸಂರಚಿಸಲು ಅನುಮತಿ ಪಡೆದ ಕ್ಲೈಂಟ್ ಘಟಕದ ವಿರುದ್ಧ ಏನನ್ನೂ ಮಾಡುವುದಿಲ್ಲ. ಪ್ರತಿ ನಿಯಂತ್ರಣವು ನಿಜವಾಗಿ ಸೃಷ್ಟಿಸುವ ಗಡಿಯನ್ನು ಹೆಸರಿಸುವುದೇ ಇಡೀ ಅಭ್ಯಾಸ.

ಅವುಗಳನ್ನು ಬೇರ್ಪಡಿಸುವುದು ನೀವು ಯಾವ ಅಪಾಯವನ್ನು ಸ್ವೀಕರಿಸಲು ಆರಿಸಿದ್ದೀರಿ ಎಂಬುದನ್ನೂ ಹೇಳುತ್ತದೆ. ಹೆಚ್ಚಿನ ನೈಜ ನಿರ್ಣಯಗಳು ಒಂದು ಗಡಿಯನ್ನು ತಗ್ಗಿಸಿ ಇನ್ನೊಂದನ್ನು ಸಹಿಸುತ್ತವೆ, ಬದಲಾವಣೆಯ ದಾಖಲೆ ಯಾವುದು ಯಾವುದು ಎಂದು ಹೇಳುವವರೆಗೆ ಅದು ಸರಿ.

ದೂರದ ಸಹವರ್ತಿ ನಿಜವಾಗಿ ಎಲ್ಲಿಗೆ ತಲುಪಬಹುದು

ಕೇಳುತ್ತಿರುವ ಸೇವೆಗಳಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಪ್ಯಾಕೆಟ್‌ಗಳು ಗೂಢಲಿಪೀಕರಿಸಿ ಬಂದಿರುವುದರಿಂದ ವ್ಯಾಪಕವಾಗಿ ವಿಶ್ವಾಸಾರ್ಹ ಎಂದು ಪರಿಗಣಿಸಲಾಗುವ ಸುರಂಗ ಇಂಟರ್‌ಫೇಸ್ ಸಾಮಾನ್ಯ ತಪ್ಪು, ಮತ್ತು ಅದು ಆ ಜಾಲದಲ್ಲಿನ ಪ್ರತಿಯೊಬ್ಬರಿಗೂ ಪ್ರತಿ ಸ್ಥಳೀಯ ಆಲಿಸುವವನನ್ನು ಸಂಭಾವ್ಯ ಗುರಿಯಾಗಿಸುತ್ತದೆ. ಗೂಢಲಿಪೀಕರಣ ಎರಡು ತುದಿಗಳ ನಡುವಿನ ತಂತಿಯನ್ನು ರಕ್ಷಿಸುತ್ತದೆ; ಅದು ಆಚೆ ತುದಿಯಲ್ಲಿನ ಸಹವರ್ತಿಯ ಉದ್ದೇಶದ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.

ss -tulpn
sudo nft list ruleset
ip -br addr

ಸೇವೆಗಳನ್ನು ಪ್ರತಿ ಇಂಟರ್‌ಫೇಸ್‌ಗೆ ಬದಲಾಗಿ ಅವುಗಳಿಗೆ ಬೇಕಾದ ವಿಳಾಸಕ್ಕೆ ಬಂಧಿಸಿ, ಮತ್ತು ಅನುಮೋದಿತ ಕೆಲಸ ಬೇಡುವ ಕಾರ್ಯಾಚರಣೆಗಳಿಗೆ ಮಾತ್ರ ಅನುಮತಿಸಿ. ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವಿಕೆ, ಸೇತುವೆ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಪ್ರಾಕ್ಸಿಯನ್ನು ಸ್ಪಷ್ಟವಾಗಿರಿಸಿ, ಏಕೆಂದರೆ ಎರಡು ಜಾಲ ಸಂಪರ್ಕಗಳು ತಾವಾಗಿಯೇ ಸಾಗಣೆ ಮಾರ್ಗವನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ, ಆದರೆ ಪ್ರಾಕ್ಸಿ ನಿಯಮ ಖಂಡಿತವಾಗಿ ಸಾಧ್ಯ.

ಅನುಮೋದಿತ ಎಸೆಯಬಹುದಾದ ಕಾರ್ಯಕ್ಷೇತ್ರ ದೂರದ ಜಾಲ ಎಲ್ಲಿಗೆ ತಲುಪಬಹುದು ಎಂಬುದನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ, ಆದರೆ ಅದರ ಹಂಚಿಕೆ ಸಂರಚನೆ ಹೇಳಿಕೆಗೆ ಹೊಂದಿದಾಗ ಮಾತ್ರ. ಹಂಚಿದ ಫೋಲ್ಡರ್‌ಗಳು, ಕ್ಲಿಪ್‌ಬೋರ್ಡ್ ಏಕೀಕರಣ, ರುಜುವಾತು ಏಜೆಂಟ್‌ಗಳು ಮತ್ತು ನಿರ್ವಹಣಾ ಚಾನೆಲ್‌ಗಳು ಎಲ್ಲವೂ ಕಾರ್ಯಕ್ಷೇತ್ರ ಸೃಷ್ಟಿಸಬೇಕಿದ್ದ ಗಡಿಯನ್ನು ದಾಟುತ್ತವೆ. ಕಾರ್ಯಕ್ಷೇತ್ರದ ಲೇಬಲ್ ಅವುಗಳಲ್ಲಿ ಯಾವುದು ತೆರೆದಿದೆ ಎಂಬುದನ್ನು ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

NIST ನ ಶೂನ್ಯ-ವಿಶ್ವಾಸ ವಾಸ್ತುಶಿಲ್ಪ ಇದೆಲ್ಲದರ ಹಿಂದಿನ ತತ್ವವನ್ನು ಹೇಳುತ್ತದೆ: ಜಾಲ ಸ್ಥಾನ ಮಾತ್ರವೇ ಸೂಚಿತ ವಿಶ್ವಾಸ ನೀಡುವುದಿಲ್ಲ. ಸುರಂಗ ಸ್ವೀಕರಿಸಿದ ನಂತರವೂ ಸಂಪನ್ಮೂಲ ದೃಢೀಕರಣಕ್ಕೆ ಕೆಲಸವಿದೆ, ಮತ್ತು ಆ ಜಾಲವನ್ನು ಬೇರೆ ಯಾರು ಹಂಚಿಕೊಳ್ಳುತ್ತಾರೆ ಎಂಬ ಪ್ರಶ್ನೆಗೂ ಇದೆ.

ಮಾರ್ಗದಲ್ಲಿನ ನಿರ್ವಾಹಕ ಏನನ್ನು ನೋಡಬಹುದು

VPN ನಿಮ್ಮ ಸಂಚಾರವನ್ನು ಮಾರ್ಗದ ಬೇರೆ ಸ್ಥಳಕ್ಕೆ ಸರಿಸುತ್ತದೆ; ಅದು ಅಪ್ಲಿಕೇಶನ್ ಗೂಢಲಿಪೀಕರಣವನ್ನು ಸೇರಿಸುವುದಿಲ್ಲ. ಪೂರೈಕೆದಾರರು ನಿಮ್ಮ TLS ಅನ್ನು ಕೊನೆಗೊಳಿಸಿದರೆ, ನಿಮ್ಮ ಬ್ರೌಸರ್ ಇಲ್ಲದಿದ್ದರೆ ರಕ್ಷಿಸುತ್ತಿದ್ದದ್ದನ್ನು ಪೂರೈಕೆದಾರರು ಓದಬಹುದು, ಮತ್ತು ಯಾವುದೇ ಸ್ಥಳೀಯ ಫೈರ್‌ವಾಲ್ ನಿಯಮ ಅದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ನಿಜವಾದ ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ ಸಾಮಾನ್ಯ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಯನ್ನು ಇರಿಸಿ ಮತ್ತು ಪರಿಹಾರಕ ಹಾಗೂ ಮೆಟಾಡೇಟಾ ಮಾರ್ಗವನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಿ, ಏಕೆಂದರೆ DNS ಪ್ರಶ್ನೆ ತನ್ನ ಮುಂದೆ ಹೋಗುವ ಪೇಲೋಡ್‌ಗಿಂತ ಹೆಚ್ಚನ್ನು ಬಹಿರಂಗಪಡಿಸಬಹುದು. ಮೆಟಾಡೇಟಾ ಮಾತ್ರ, ಅಂದರೆ ನೀವು ಯಾವ ವಿಳಾಸಗಳನ್ನು ಯಾವಾಗ ಸಂಪರ್ಕಿಸಿದಿರಿ, ಸಾಮಗ್ರಿ ಓದುವ ಯಾವುದೇ ಅಗತ್ಯವಿಲ್ಲದೆ ನಿರ್ವಾಹಕನ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ. ಆದ್ದರಿಂದ «ಸಂಚಾರ ಗೂಢಲಿಪೀಕೃತವಾಗಿದೆ» ಮತ್ತು «ಸಂಚಾರ ಖಾಸಗಿಯಾಗಿದೆ» ಬೇರೆ ಬೇರೆ ಹೇಳಿಕೆಗಳು.

ಆ ಗೋಚರತೆ ಕೆಲಸಕ್ಕೆ ಸ್ವೀಕಾರಾರ್ಹವಲ್ಲದಿದ್ದರೆ, ಉತ್ತರ ಹೆಚ್ಚು ಸ್ಥಳೀಯ ಶೋಧನೆಯಲ್ಲ, ಬೇರೆ ಅನುಮೋದಿತ ವಾಸ್ತುಶಿಲ್ಪ. ಸ್ಥಳೀಯ ಶೋಧನೆ ಇನ್ನೂ ಕುಳಿತಿರುವ ಮಾರ್ಗದಿಂದ ವೀಕ್ಷಕನನ್ನು ತೆಗೆಯಲಾರದು.

ಸ್ಥಳೀಯ ಕ್ಲೈಂಟ್ ಏನನ್ನು ಬದಲಿಸಬಹುದು

ಇದೇ ಜನರು ತಪ್ಪಿಸಿಕೊಳ್ಳುವ ಗಡಿ, ಮತ್ತು ಇದೇ ಉಳಿದೆರಡನ್ನು ಅರ್ಥಹೀನಗೊಳಿಸುತ್ತದೆ. ಲಿನಕ್ಸ್‌ನಲ್ಲಿ CAP_NET_ADMIN ತನ್ನ ಜಾಲ ಸಂದರ್ಭದಲ್ಲಿ ಇಂಟರ್‌ಫೇಸ್ ಸಂರಚನೆ, ಫೈರ್‌ವಾಲ್ ಆಡಳಿತ ಮತ್ತು ಮಾರ್ಗ ಬದಲಾವಣೆಗಳನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ. ಆ ಸಾಮರ್ಥ್ಯವಿರುವ ತಂತ್ರಾಂಶ ನೀವು ಈಗಷ್ಟೇ ಬರೆದ ನೀತಿಯನ್ನು ಮತ್ತೆ ಬರೆಯಬಹುದು.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

ಜಾಲ ಹೆಸರಿನ ಸ್ಥಳವು ಜಾಲ ಸ್ಥಿತಿಗೆ ನಿಜವಾದ ಗಡಿ ಮತ್ತು ಉಳಿದ ಎಲ್ಲದಕ್ಕೂ ಕಳಪೆ: ಅದು ಕಡತ ವ್ಯವಸ್ಥೆಯನ್ನಾಗಲಿ ರುಜುವಾತು ಭಂಡಾರವನ್ನಾಗಲಿ ಪ್ರತ್ಯೇಕಿಸುವುದಿಲ್ಲ. ಅದನ್ನು ಇಡೀ ಸಮಸ್ಯೆಯ ಪಾತ್ರೆಯಲ್ಲ, ಒಂದು ಪದರ ಎಂದು ಪರಿಗಣಿಸಿ.

ಕ್ಲೈಂಟ್ ಮತ್ತು ಅದರ ಸಂರಚನೆಯನ್ನು ನಿರ್ವಹಿತ ಮೂಲದಿಂದ ಪಡೆಯಿರಿ, ಅದು ಕೇಳುವ ಅಧಿಕಾರವನ್ನು ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ವಿಶೇಷಾಧಿಕಾರದ ಘಟಕಗಳನ್ನು ನಿರ್ವಾಹಕ ನಿಯಂತ್ರಣದಲ್ಲಿಡಿ. ಬೆಲೆಬಾಳುವ ರುಜುವಾತುಗಳ ಪಕ್ಕದಲ್ಲಿ ವಿವರಿಸದ ಸ್ಥಾಪಕವನ್ನು ಚಲಾಯಿಸುವ ಅನುಮತಿಯಾಗದೆ ವರ್ಚುವಲ್ ಯಂತ್ರ ಅರ್ಹ ಮೌಲ್ಯಮಾಪನ ಗಡಿಯ ಭಾಗವಾಗಬಹುದು. ಸ್ಥಾಪಕ ನೀವು ಕೊಡುವ ಯಾವ ಅಧಿಕಾರದಿಂದಲೂ ಚಲಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಅಧಿಕಾರವೇ ಗಡಿ.

ನೀವು ಯಾವ ಗಡಿಯನ್ನು ಸ್ವೀಕರಿಸಿದಿರಿ ಎಂದು ಬರೆಯಿರಿ

ನಾಲ್ಕು ವಿಷಯಗಳನ್ನು ಹೆಸರಿಸುವ ವಾಕ್ಯದೊಂದಿಗೆ ಮುಗಿಸಿ: ವಿಶ್ವಾಸಾರ್ಹ ಸ್ಥಳೀಯ ಕೋಡ್, ಅನುಮತಿಸಿದ ದೂರಸ್ಥ ಪ್ರವೇಶ, ರಕ್ಷಿತ ಅಪ್ಲಿಕೇಶನ್ ಡೇಟಾ ಮತ್ತು ಉಳಿಯುವ ನಿರ್ವಾಹಕ ಸಂಬಂಧ. ಆ ವಾಕ್ಯವು VM, ಕಾರ್ಯಾಚರಣಾ ವ್ಯವಸ್ಥೆ ಅಥವಾ ಆಂಟಿವೈರಸ್ ಉತ್ಪನ್ನ ವೈರಿ ಜಾಲವನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸಿತು ಎಂಬ ಸಾಮಾನ್ಯ ಹೇಳಿಕೆಗಿಂತ ಹೆಚ್ಚು ಮೌಲ್ಯದ್ದು.

ನಂತರ ಸಂಕುಚಿತ ಕಾರ್ಯಾಚರಣೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಬೇಡಿಕೆಯ ನಿರಾಕರಣೆ ಇನ್ನೂ ಇರುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಸುರಂಗ ಬಿದ್ದ ನಂತರವೂ. ಸುರಂಗ ಮೇಲಿರುವಾಗ ಮಾತ್ರ ಇರುವ ಗಡಿ ನೀವು ದಾಖಲಿಸಿದ ಗಡಿಯಲ್ಲ.

ಯಾವುದೇ ಪರೀಕ್ಷೆ ಪ್ರತಿ ದುರ್ಬಲತೆಯೂ ಇಲ್ಲ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ, ಮತ್ತು ವಿರುದ್ಧವಾಗಿ ಹೇಳುವ ಪರಿಶೀಲನೆ ಅತಿಶಯೋಕ್ತಿ. ಪ್ರಾಮಾಣಿಕ ಫಲಿತಾಂಶ ಉಳಿದ ಅಪಾಯ ಮತ್ತು ಅದನ್ನು ಸ್ವೀಕರಿಸಿದ ವ್ಯಕ್ತಿಯನ್ನು ಹೆಸರಿಸುತ್ತದೆ.