Коомдук Wi-Fi жана VPN: туннель эмнени камтыбайт

Жашыл белги, ыраазы портал, иштеген браузер: бул бүт көрүнүп турган окуя. Белги калтырып кеткени — шифрленген байланышты сизди андан коргошу керек болгон ошол эле зымсыз звеносу алып жүрөт. Ал звено ар бир пакетти дагы эле жеткирет, барар дарегин дагы эле көрөт жана бир нерсе жетет-жетпейин дагы эле чечет. Мейманкана байланышынын ноутбук тарабын карап чыгуу туннель кайсы бөлүктөрдү камтый турганын жана кайсыларын сизге калтыра турганын көрсөтөт.

Кирүү звеносу баарын алып жүрөт

IPsec ESP туннели корголгон ички пакетти тармак маршруттай алган тышкы аталышка ороп, RFC 4303 3.1.2-бөлүм ошол бөлүнүштү түшүндүрөт. Ички пакет — туннель коргогон нерсе. Тышкы аталышты хотспот аны жөнөтүү үчүн окуйт. Башка долбоорлор башкача капсулалайт, бирок пландоо суроосу бирдей: бул байланышты кайсы кирүү жолу алып жүрөт?

Шлюздун иштебей калышы же пакеттерди таштаган звено мазмунду ачпай жеткирүүнү токтотот. Күчтүүрөөк шифрга өтүү буга эч нерсе кылбайт, анткени жетишпеген бөлүк — криптография эмес, ташуу. Ийгиликтүү жеткирүү карама-каршы багытта да ушунча аз далилдейт, анткени иштеген жол эки машинанын эч биринин абалы жөнүндө эч нерсе айтпайды.

Ноутбукуңуздун дагы эле өз эшиктери бар

Ишенимсиз сегментке кошулуу машинаңыз уккан портторго ким жете аларын өзгөртөт. Файл бөлүшүү кызматы, алыскы башкаруу агенти же бардык интерфейстерге байланган иштеп чыгуу сервери ошол сегменттеги ар кимге жеткиликтүү, эгер бир нерсе аны токтотпосо. Туннелге эч качан кирбеген трафик аны менен корголбойт. Туннель көтөрүлө электе жооп берген угуучу дал ошол терезе үчүн ачык.

Талап тар жана аны так айтууга татыктуу: ноутбук VPNдин акыркы чекитине жетиши керек, ал эми хотспоттогу байланышсыз түзмөктөр жергиликтүү кызматтарга жетпеши керек. Хосттун firewall эрежелери ошол чекти билдирет, платформанын өзүнүн бөлүшүү жөндөөлөрү да анын бир бөлүгүн билдирет. Принтер же портал кадамы — атайын кошкон чектелген өзгөчөлүк, бүт хотспот кеңселик LAN ишенимине татыктуу деген далил эмес.

Кээ бир уюмдар жумуш байланышы активдүү кезде жергиликтүү кирүүнү да чектейт, бул инженерия эмес, саясат. Четки түзмөк иштеши үчүн firewallды өчүрүүдөн мурун ошол саясатты окуңуз.

Чындыгында эмне угуп жатканын текшериңиз

Жөндөөлөр барагына эмес, сокеттерге караңыз, анткени барак ниетти сүрөттөйт, сокет таблицасы машинаны сүрөттөйт. Төмөнкү эки тизме ар бир угуучу сокетти кошуна жете алган сокеттерден бөлөт. Аларды туннелди туташтыруудан мурун ишенимсиз сегментте иштетиңиз.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Биринчи буйрук ар бир сокетти көрсөтөт, экинчиси loopbackтын тышына байлангандарга чыпкалайт. 0.0.0.0 же :: дарегиндеги кызмат зымсызды кошкондо ар бир интерфейсте жеткиликтүү, ал эми 127.0.0.1 дарегиндеги ошол эле кызмат сегменттен такыр жеткиликсиз. Чечүүчү суроо туннель пайда боло электе аттын кайсы жолду аларын ырастайт, жана дал ошол жерде туткунга түшкөн порталдар кийлигишет. Туташкандан кийин тизмени кайталаңыз, анткени кээ бир кардарлар жоопту өзгөрткөн интерфейстерди көтөрөт.

Туннель көтөрүлүп турганда гана көрүнгөн порт азыраак ачык, бирок ал жөнүндө билүү дагы эле пайдалуу. Абсолюттук тизмени эмес, айырманы жазыңыз, анткени туннель кошкон нерсе — дельта.

Сессиянын ортосунда жаңы инсандыкты кабыл албаңыз

Күтүлбөгөн маршрут өзгөрүүсү, кайра туташуу же портал багыттоосу башка сервердин инсандыгын кабыл алууга уруксат эмес. Кардар сертификат же ачкыч дал келбестигин билдирсе, аны айланып өтүүчү байланыш эмес, инсандык табылгасы катары караңыз. Портал иштеши үчүн түшүндүрүлбөгөн тамыр сертификатын орнотуу жеткирүү маселесин ишеним маселесине айландырат. Анан ишеним маселеси аны жараткан сапардан узак жашайт.

Порталдын өз браузер агымын колдонуңуз, анан туннелди кайра туташтырып, кардар журналынан ал текшерген инсандыкты окуңуз. Инсандык ишке ашпаса, каршы тарап күткөн адам эмес, ал эми жеткирүү ишке ашпаса, каршы тарап эч качан жооп берген эмес. Биринчиси токтоого себеп, экинчиси башка жолду сынап көрүүгө себеп.

Алгач үзгүлтүк учурундагы жүрүм-турумду чечиңиз

Бул жерде эки башка функция чаташтырылат. Кайра туташуу кызматты калыбына келтирүүгө аракет кылат, ал эми блоктоо саясаты туннель өчүп турганда кайсы трафикке жол берилээрин көзөмөлдөйт. Экөө тең иштеген зымсыз звенону бербейт жана экөө тең акыркы чекит таза экенин далилдебейт. Ачык тандаңыз: жергиликтүү жолду эч качан колдонбошу керек колдонмолор үчүн жабык ишке ашпоо, ал эми кабыл алынса, туннелдин сыртында кадимки серептөөгө жол берүү.

Тандоону жазыңыз, анткени көпчүлүк кардарларда демейки экөөнүн бири эмес жана версияга жараша өзгөрөт. Анан жеткиликтүүлүк маанилүү болсо, балама кирүү жолун уюштуруңуз, мисалы, өзүнүн дайындары планы бар телефон хотспоту. Кабыл алуу сынагынын үч өзүнчө натыйжасы бар: көздөлгөн трафик текшерилген туннелди колдонот, байланышсыз жергиликтүү угуучулар жеткиликсиз, жана үзгүлтүк сиз тандаган жүрүм-турумду жаратат.