Эмне үчүн жалпы TAP VPN порталда дагы эле HTTPS талап кылат
TAP VPN өнөктөштү аутентификациялайт, анын артындагы кызматты эмес. Порталда хост атын текшерүүнү сактап, ишенбеген кошуналарды бөлүп кармаңыз.
Эки түзмөктүн жарактуу VPN каттоо маалыматтары бар жана бир көпүрөлөнгөн Ethernet сегментин бөлүшөт. Алардын бирөө гана кеңсе порталы үчүн жооп бериши керек, ал эми экинчиси ошол сегментте порталдын дарегин дагы эле талап кыла алат. Туннель өз ишин аткарды: ал эки өнөктөштү тең аутентификациялап, серверге чейинки ар бир жолду шифрлады. Ал кылбаганы — алардын кайсынысы кызмат атына ээ экенин күбөлөндүрүү, жана дал ушул боштук порталга дагы эле жарактуу сертификат керек экендигинин себеби.
VPN чындыгында эмнени аутентификациялайт
VPN кол алышуусу бир суроого жооп берет: кайсы өнөктөш бул туннелди кандай ачкыч материалы менен аяктады. Бул жооп ар бир өнөктөшкө жана ар бир байланышка тиешелүү жана ал өнөктөш кийин көрсөтө турган кызматтар жөнүндө эч нерсе айтпайт. TAP сегментинде өнөктөш бир дарек да эмес, анткени көпүрө үйрөнүүгө даяр болгон каалаган MAC жана каалаган IPни сунуштай алат. Аутентификация туннелдин акыркы чекитинде токтойт, колдонмодо эмес.
Үч суроону бирине кошуунун ордуна бөлүңүз. Ар биринин өз механизми жана өз иштен чыгуу ыкмасы бар.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Жайылтууда толук аутентификацияланган туннель жана анын артында такыр аутентификацияланбаган кызмат болушу мүмкүн. Ошондой эле экинчи катмардагы дарегин башка өнөктөш талап кылып жаткан хостто текшерилген сертификат болушу мүмкүн, ошондуктан долбоордо бири экинчисин алмаштырбастан, эки көзөмөл тең болушу керек. Таблица — бүт далил үч сапта.
Жалпы сегменттеги ARP — маалымдама эмес
ARP жергиликтүү байланыштагы IPv4 дарегин MAC менен салыштырат жана ошол байланыштагы каалагандан жооп кабыл алат. Уруксат берүүчү көпүрөлөнгөн сегментте өнөктөш башка түзмөккө таандык даректи талап кыла алат, ал эми көпүрө кадрларды эң акыркы жооп бергенге жөнөтөт. Ар бир кардар жолун серверге чейин шифрлөө муну өзгөртпөйт, анткени кадрлар көпүрөгө жетээрден мурун чечилет. ARPдин ишеним чеги — туннель эмес, сегмент.
Хост чындыгында эмнени үйрөнгөнүн караңыз: ip neigh show учурдагы салыштырууларды жана алардын абалын тизмелейт, ал эми кадимки иштөө учурунда эки MAC дарегинин ортосунда алмашкан жазуу — этибарга албоонун ордуна иликтөөгө татыктуу белги. Ден соолугу жакшы кичинекей сегментте мындай жазуулар узак убакыт туруктуу болот.
Өнөктөштөрдү бөлүү жана көпүрө саясаты дал ушул учур үчүн бар. Кызмат IP гана болгондо жана түзмөктөрдүн бири-биринин кадрларын көрүүгө эч кандай себеби жок болгондо, маршрутталган долбоор адатта жакшыраак жооп.
Сертификатты текшерүүнү кызмат турган жерде кармаңыз
Колдонмонун TLSи туннель бере албаган суроого жооп берет: бул мен жетүүнү каалаган кызматпы? Браузер хост атын сертификат менен салыштырат, жана бул текшерүү чынжырдын өнөктөштү эмес, порталды атаган жалгыз бөлүгү.
Эскертүүнү жөн гана сырткы көрүнүш деп чечпестен мурун сервер эмнени сунуштаарын караңыз. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal чынжырды жана субъектинин альтернативдик аттарын басып чыгарат. Сиз терген ат ошол тизмеде жок болсо, эскертүү туура жана оңдоого тийиш нерсе — сертификат. Колдонуучуларды андан өтүүгө үйрөтүү иштеген көзөмөлдү кооздукка айландырат.
OpenVPN көпүрөлөө колдонмосу Ethernet моделин жана анын айланасындагы саясат варианттарын сүрөттөйт, жана сегмент эмнени уруксат бериши керектиги боюнча туура булак ушул. Көпүрө эрежесин бошотуудан мурун аны окуңуз, анткени сүрөттөлгөн модель — жогорудагы ар бир текшерүү болжолдогон нерсе.
Ошол өнөктөштөр сегментти бөлүшүүгө тийишпи, чечиңиз
Эң арзан түзөтүү — талап IP жеткиликтүүлүгү гана болгондо экинчи катмарды бөлүшүүнү токтотуу. Маршрутталган VPN ар бир кардарга өз дарегин берет, жалпы трансляция доменин жок кылат жана өнөктөштөр ортосундагы трафикти демейки маанинин ордуна саясий чечимге айландырат. Ошондо порталдын коргоого бир дареги бар жана аны талап кыла алган кошунасы жок.
Эгер сегмент калышы керек болсо, кардарлардын бири-бирине жетүүсүнө мүмкүндүк берген сервер тараптагы жөндөөнү текшериңиз: grep -n client-to-client /etc/openvpn/server.conf. Ал өчүк болгондо кардар трафиги сервер аркылуу өтөт жана ошол жерден чыпкаланууга болот. Ал күйүк болгондо өнөктөштөр кадрларды түз көпүрө аркылуу алмашат, ал эми чыпкалоо чекиттериңиз — көпүрө жана хосттун коргоо дубалы.
Ар бир хост чындыгында кайсы коргоолорго таянарын жазып коюңуз: туннелди аутентификациялоо, сегментти бөлүү же колдонмонун TLSи. Үчөөнө тең таянган хост жакшы. Ал эми биринчисине таянып, калган экөө аны менен келди деп эсептеген хост — акыры туура эмес мазмунду сунуштаган хост.