Ee VPN-Login op engem gedeelte PC: wien kritt soss d'Route?

Eng Aarbechtsplaz deelen stellt eng Fro, déi ee Laptop fir een eenzegen Notzer ni muss beäntwerten: wann eng Persoun den Tunnell authentifizéiert, wien anescht ka se benotzen? De Login identifizéiert en Subjekt, an d'Route, déi en installéiert, beschreift e Beräich, an déi zwou Saachen sinn net datselwecht Objekt. Tëschent hinnen sinn d'Betribssystem, d'Konfiguratioun vum Client an dat, wat de private Service vu sech aus verlaangt. D'Ëmsetungspunkten ze vergläichen ass déi eenzeg Manéier, d'Fro ouni ze roden ze beäntwerten.

Ee Login, verschidde Beräicher

Authentifikatioun äntwert, wien eragelooss gouf. D'Route äntwert, wéi eng Pakete kënnen duerch den Tunnell eraus. Autorisatioun äntwert, wéi ee Service d'Verbindung unhëlt, déi entsteet, an keen vun den dräi setzt déi nächst viraus.

En hostwäiten Tunnell ass den üblechen Default, an en mécht d'Lück evident. D'Route sëtzt an der Tabell vum Kernel, also kann all Prozess, deen déi Tabell benotzt, de private Reseau erreechen, och ee vun engem Benotzer gestart, dee nie den VPN-Dialog gesinn huet. Dat ass keen Defekt am Tunnell; dat ass, wat eng systemwäit Route bedeit. De private Service kann d'Verbindung nach ëmmer ofleenen, an dowéinst brauche Erreechbarkeet an Erlaabnes getrennt Äntwerten.

Déi véier Froen virum Test opzeschreiwen hält d'Revue dovun of, op eng vun hinnen zesummenzefalen.

Wou d'Grenz tatsächlech läit

Véier Anuerdnungen decken déi meescht Maschinnen: en hostwäiten Tunnell, eng Verbindung pro Benotzer, eng Erlaabneslëscht pro App an en separate Reseau-Nummraum oder eng virtuell Maschinn.

Jiddweree setzt den Ëmsetungspunkt soss anescht, an d'Ënnerscheeder zielen méi wéi d'Etiketten. Eng Verbindung pro Benotzer gëtt duerch d'Erlaabnesser vum Profil ëmgesat, net duerch den Umeldungsbildschierm vum Desktop. Eng Erlaabneslëscht pro App gëtt am Client ëmgesat, deen entscheet, wat en dréit. En Nummraum oder eng VM setzt op der Grenz vum Interface ëm, sou datt e Prozess dobannen d'Route vum Host guer net gesäit. D'Zuel vun den Umeldungsbildschiermen op der Maschinn seet iwwer keng vun hinnen eppes.

D'Tabell Zeil fir Zeil ze liesen weist, datt déi richteg Fro net ass, ob Isolatioun existéiert, mä wou se ëmgesat ass.

Vergläicht véier Ëmsetungspunkten

Op Linux ass d'Routentabell dat éischt, wat een ënnersiche muss, well en hostwäiten Tunnell do erschéngt an en Nummraum net. D'Ufro als zweete Benotzer auszeféieren ass de Schrëtt, deen d'Leit iwwersprangen; d'Äntwert ass anescht wéi déi, déi se als sech selwer kruten, an dat erkläert de Rapport.

Déi nächst zwou Kontrollen kucken op Politik an net op Routing. Eng Firewall-Reeg, déi mat enger UID entsprécht, gëllt fir lokal generéierte Verkéier, also kann se zwee Benotzer op engem Host trennen, och wann béid d'Route deelen. E Verbindungsprofil mat enger expliziter Erlaabneslëscht gëtt bei der Aktivéierung vum Reseau-Manager ëmgesat. Keng vun de Kontrollen erfuerdert, datt den Tunnell sech ännert, an dowéinst ass et der Méi wäert, se ze maachen, ier eppes nei gestalt gëtt.

ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuid

Wann déi zweet Ufro d'Tunnellroute weist, ass d'Grenz net do, wou den Design ugeholl huet.

Regelen fir gläichzäiteg Sessioune sinn eng getrennt Kontroll

Gateways begrenzen dacks, wéi vill Sessiounen ee Kont halen däerf, an déi Limite huet näischt mat lokale Benotzer ze dinn. Se beschränkt de Kont, also kann eng zweet Persoun, déi sech mat deene selwechten Umeldungsinformatiounen umellt, den Tunnell vun der éischter Persoun beënnegen.

Liest de Feeler, ier dir e lokale Isolatiounsproblem unhëlt. Eng Sessiounslimite produzéiert eng Trennung um Gateway, wärend e Beräichsproblem en funktionéierenden Tunnell produzéiert, deen einfach den Verkéier vum anere Benotzer net dréit. Déi zwee Symptomer féieren zu komplett ënnerschiddlechen Korrekturen. Hält d'exakt Client-Message, well se meeschtens d'Reeg nennt. Frot den Eegentemer vum Profil no dem geneemegten Aarbechtsfloss, amplaz d'Limite z'ëmgoen.

Eng virtuell Maschinn befreit keen vun där Reegel an et füügt hir eege Reseau- an Umeldungsdesign dobäi.

Test de Kontext, deen dir wichteg ass

Test de virgesinne Benotzer an d'Applikatioun, an test dann e Kontext, deen ofgeleent soll ginn. Eng Revue, déi just beweist, datt dat ursprénglecht Passwuert funktionéiert, huet d'Authentifikatioun getest an soss näischt.

sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'

Notéiert den Ëmsetungspunkt niewent all Resultat: d'Routentabell, eng UID-Reeg, eng Profil-Erlaabnes oder d'Sessiounspolitik vum Gateway. Dee Rekord mécht déi nächst Ännerung iwwerpréifbar. En hält och dovun of, datt déiselwecht Fro all Kéier nees opgemaach gëtt, wann een en zweete Umeldungsbildschierm bemierkt. Erreechbarkeet ass keng Autorisatioun, an keent vun de béiden ass Isolatioun.