Ишенимсиз VPN — бул үч өзүнчө чек, бир чек эмес

«Мен бул VPNге ишенбейм» деген сөз адатта бир сүйлөмгө кийиндирилген үч ырастоо. Ошол тармактагы алыскы өнөктөштөр хосттун кызматтарына жете алат, туннелди башкарган оператор андан өткөн трафикти көрө алат, жана сиз орноткон клиенттик программа машинаңыздын тармактык саясатын өзгөртө алат. Оңдоого татыктуу ишеним — брандмауэр эрежеси, виртуалдык машина же операциялык системаны кылдат тандоо үчөөнө тең жооп берет деген ой. Ар бир чара алардын так бирине жооп берет.

Уламыш: бир көзөмөл бүт тобокелди жабат

Кадимки божомол — ишенимсиз тармакка кошулуу бир чечим жана бир жумшартуу. Адамдар өздөрү ишенген көзөмөлдү тандап, аны колдонуп, тобокелди бүттү деп эсептешет: брандмауэр күйүк, жумуш мейкиндиги бир жолу колдонулат, клиент кадыр-барктуу жеткирүүчүдөн келген.

Бул көзөмөлдөр божомол айткандай кабатталбайт. Хосттогу брандмауэр алыскы өнөктөштүн кайда жете аларын чектейт жана TLSңизди токтоткон операторго каршы эч нерсе кылбайт. Виртуалдык машина жумуш мейкиндигин хост файлдарыңыздан бөлөт жана экөөнүн астындагы тармактык стекти кайра конфигурациялоого уруксат берилген клиенттик компонентке каршы эч нерсе кылбайт. Ар бир көзөмөлдүн чынында жараткан чегин атоо — бүт машыгуу ушул.

Аларды бөлүү кайсы тобокелди кабыл алууну тандаганыңызды да айтат. Реалдуу чечимдердин көбү бир чекти жумшартып, экинчисине чыдайт, бул өзгөрүү жазуусу кайсынысы кайсынысы экенин айтканга чейин жарайт.

Алыскы өнөктөш чынында кайда жете алат

Угуучу кызматтардан баштаңыз. Пакеттери шифрленип келгендиктен кеңири ишенимдүү деп каралган туннелдик интерфейс — кадимки ката, ал ошол тармактагы башка ар ким үчүн ар бир жергиликтүү угуучуну ыктымал бутага айландырат. Шифрлөө эки четки чекиттин ортосундагы зымды коргойт; ал аркы тараптагы өнөктөштүн ниети жөнүндө эч нерсе айтпайт.

ss -tulpn
sudo nft list ruleset
ip -br addr

Кызматтарды ар бир интерфейске эмес, аларга керектүү дарекке байлаңыз жана бекитилген тапшырма талап кылган операцияларга гана уруксат бериңиз. Өткөрүү, көпүрө жана колдонмо проксиясын ачык кармаңыз, анткени эки тармактык туташуу өзүнөн өзү транзиттик жол жаратпайт, бирок прокси эрежеси сөзсүз жарата алат.

Бекитилген бир жолу колдонулуучу жумуш мейкиндиги алыскы тармактын кайда жете аларын азайтат, бирок анын бөлүшүү конфигурациясы ырастоого туура келгенде гана. Жалпыланган папкалар, алмашуу буферинин интеграциясы, каттоо маалыматтарынын агенттери жана башкаруу каналдары — баары жумуш мейкиндиги жаратышы керек болгон чектен өтөт. Жумуш мейкиндигинин белгиси алардын кайсынысы ачык экенин далилдебейт.

NISTтин нөл ишеним архитектурасы ушунун баарынын артындагы принципти айтат: тармактык жайгашуу гана жашыруун ишеним бербейт. Туннел кабыл алынгандан кийин да ресурсту аутентификациялоонун иши бар, жана бул тармакты дагы ким бөлүшөт деген суроонун да.

Жолдогу оператор эмнени көрө алат

VPN трафигиңизди жолдун башка жерине жылдырат; ал колдонмо шифрлөөсүн кошпойт. Эгер провайдер TLSңизди токтотсо, провайдер браузериңиз башкача коргогон нерсени окуй алат, жана эч бир жергиликтүү брандмауэр эрежеси муну өзгөртпөйт.

Чыныгы барар жери үчүн кадимки сертификат текшерүүсүн сактаңыз жана чечүүчү менен метаберилиштердин жолун түшүнүңүз, анткени DNS суроосу өзүнөн мурун жүргөн жүктөмдөн көбүрөөк нерсени ача алат. Метаберилиштер гана, б.а. кайсы даректер менен качан байланышканыңыз, көбүнчө мазмунду окууга эч кандай муктаждыксыз оператордун суроосуна жооп берет. Ошондуктан «трафик шифрленген» жана «трафик жеке» — ар башка ырастоолор.

Эгер бул көрүнүү тапшырма үчүн кабыл алынбаса, жооп — көбүрөөк жергиликтүү чыпкалоо эмес, башка бекитилген архитектура. Жергиликтүү чыпкалоо байкоочуну ал али отурган жолдон алып сала албайт.

Жергиликтүү клиент эмнени өзгөртө алат

Бул — адамдар өткөрүп жиберүүчү чек, жана калган экөөнү маанисиз кылган да ушул. Linuxте CAP_NET_ADMIN өзүнүн тармактык контекстинде интерфейс конфигурациясын, брандмауэр администрациясын жана маршрут өзгөрүүлөрүн камтыйт. Ушул жөндөмү бар программа жаңы эле жазган саясатты кайра жаза алат.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Тармактык ат мейкиндиги тармактык абал үчүн чыныгы чек жана калган бардыгы үчүн начар: ал файлдык системаны же каттоо маалыматтарынын кампасын обочолонтпойт. Аны бүт маселенин контейнери эмес, бир катмар катары караңыз.

Клиентти жана анын конфигурациясын колдоого алынган булактан алыңыз, ал сураган ыйгарым укукту карап чыгыңыз жана артыкчылыктуу компоненттерди администратордун көзөмөлүндө кармаңыз. Виртуалдык машина баалуу каттоо маалыматтарынын жанында түшүндүрүлбөгөн орноткучту иштетүүгө уруксат болуп калбастан, квалификациялуу баалоо чегинин бөлүгү боло алат. Орноткуч ага берген кандай гана ыйгарым укук менен болбосун иштейт, жана ошол ыйгарым укук — чек.

Кайсы чекти кабыл алганыңызды жазыңыз

Төрт нерсени атаган сүйлөм менен бүтүрүңүз: ишенимдүү жергиликтүү код, уруксат берилген алыскы кирүү, корголгон колдонмо берилиштери жана калган оператор мамилеси. Бул сүйлөм VM, операциялык система же антивирустук продукт душмандык тармакты коопсуз кылды деген жалпы ырастоодон кымбат.

Андан кийин тар операциянын иштээрин жана талап кылынган баш тартуу дагы күчүндө экенин ырастаңыз, туннел кулагандан кийин да. Туннел көтөрүлүп турганда гана болгон чек — сиз документтештирген чек эмес.

Бир да сыноо бардык алсыздыктын жоктугун далилдебейт, жана тескерисин ырастаган кароо ашыра айтат. Адилет натыйжа калган тобокелди жана аны кабыл алган адамды атайт.