Öffentlech Wi-Fi a VPN: wat den Tunnel net deckt

Grénge Badge, zefridde Portal, funktionéierende Browser: dat ass déi ganz sichtbar Geschicht. Wat de Badge ewechléisst ass, datt déi verschlësselt Verbindung vun genau deem drahtlose Link gedroe gëtt, virun deem se Iech soll schützen. Deen Link liwwert nach ëmmer all Pak, gesäit nach ëmmer d'Endpunktadress a decidéiert nach ëmmer, ob iwwerhaapt eppes ukommt. D'Laptop-Säit vun enger Hotelverbindung duerchzegoen weist, wéi Deeler den Tunnel deckt a wéi en Iech iwwerléisst.

Den Zougangslink dréit alles

En IPsec ESP-Tunnel wéckelt e geschützte bannenzege Pak an en baussenzege Header, deen d'Netzwierk route kënnen, an RFC 4303 Abschnitt 3.1.2 erklärt déi Opdeelung. De bannenzege Pak ass dat, wat den Tunnel schützt. Den baussenzege Header ass dat, wat den Hotspot liest, fir en weiderzeschécken. Aner Designe kapselen anescht, awer d'Plangungsfro ass déiselwecht: wéi en Zougangswee dréit dës Verbindung?

En Gateway-Fehler oder e Link, deen Päck verléiert, stoppt d'Liwwerung ouni den Inhalt ze verroden. Op eng méi staark Chiffre ze wiesselen hëlleft dobäi net, well de fehlenden Deel den Transport ass an net d'Kryptographie. Eng erfollegräich Liwwerung beweist an déi aner Richtung grad esou wéineg, well en funktionéierende Wee näischt iwwer den Zoustand vun engem vun de béide Maschinne seet.

Ären Laptop huet nach ëmmer seng eege Dieren

Bäitrieden zu engem net vertrauenswürdege Segment ännert, wien d'Porte kann erreechen, op deenen Är Maschinn lauschtert. En Dateifrëndschaftsservice, en Agent fir Fernverwaltung oder en Entwécklungsserver, deen un all Interface gebonnen ass, ass fir jiddereen an deem Segment erreechbar, ausser eppes hält en op. Verkehr, deen ni an den Tunnel kënnt, gëtt net vun him geschützt. En Nolauschterer, dee äntwert, ier den Tunnel steet, ass genau fir dee Fënster ausgesat.

D'Ufuerderung ass schmuel a verdéngt et, genau formuléiert ze ginn: de Laptop muss den VPN-Endpunkt erreechen, an onbetraffe Geräter um Hotspot dierfen net op lokal Servicer kommen. D'Regele vun der Host-Firewall drécken déi Grenz aus, an déi eege Deelungsastellunge vun der Plattform drécken och en Deel dovun aus. En Drécker oder e Portalschrëtt ass eng begrenzt Ausnam, déi Dir bewosst bäisetzt, keen Beweis, datt den ganzen Hotspot d'Vertraue vun engem Büro-LAN verdéngt.

E puer Organisatiounen aschränken och de lokalen Zougang, während eng Aarbechtsverbindung aktiv ass, wat Politik an net Ingenieurswëssen ass. Liest déi Politik, ier Dir eng Firewall deaktivéiert, fir en Niewengerät ze maachen.

Kuckt no, wat tatsächlech lauschtert

Kuckt op d'Sockets an net op d'Astellungsäit, well d'Säit d'Absicht beschreift an d'Socket-Tabell d'Maschinn. Déi zwou Lëschten ënnen trennen all lauschterende Socket vun deenen, déi en Noper erreeche kéint. Fuert se am net vertrauenswürdege Segment aus, ier Dir den Tunnel verbënnt.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Den éischte Befehl weist all Socket, an den zweeten filtert op déi, déi iwwer Loopback eraus gebonnen sinn. En Service op 0.0.0.0 oder :: ass op all Interface verfügbar, och op deem drahtlosen, während dee selwechte Service op 127.0.0.1 guer net vum Segment erreechbar ass. D'Ufro un den Opléiser bestätegt, wéi de Wee vum Numm ass, ier den Tunnel existéiert, an do stéieren d'Capture-Portalen. Widderhëlt d'Lëscht no der Verbindung, well e puer Cliente Schnëttstelle eropsetzen, déi d'Äntwert änneren.

E Port, deen nëmme erschéngt, während den Tunnel uewen ass, ass manner ausgesat, obwuel et nach ëmmer gutt ass, en ze kennen. Notéiert den Ënnerscheed an net déi absolut Lëscht, well den Delta dat ass, wat den Tunnel bäigefüügt huet.

Akzeptéiert keng nei Identitéit an der Mëtt vun der Sitzung

Eng onerwaart Routeänderung, eng Reconnectioun oder eng Portalviruleedung ass keng Erlaabnes, eng aner Serveridentitéit ze akzeptéieren. Wann de Client en Zertifika- oder Schlësselkonflikt mëldet, behandelt en als Identitéitsfund an net als Konnektivitéit, déi ëmginn muss ginn. En onerklärten Root-Zertifika installéieren, fir datt e Portal funktionéiert, verwandelt e Liwwerungsproblem an e Vertrauensproblem. Duerno iwwerlieft de Vertrauensproblem d'Rees, déi en erstallt huet.

Benotzt den eegene Browserfloss vum Portal, verbënnt den Tunnel duerno erëm a liest am Clientlog, wéi eng Identitéit en iwwerpréift huet. Identitéitsfehler bedeit, datt de Géigendeel net deen ass, deen Dir erwaart hutt, während Liwwerungsfehler bedeit, datt de Géigendeel ni geäntwert huet. Dat Éischt ass e Grond opzehalen, an dat Zweete e Grond en anere Wee ze probéieren.

Entscheet als éischt d'Verhalen bei engem Ausfall

Hei ginn zwou verschidde Funktiounen verwiesselt. Reconnectioun probéiert de Service ze restauréieren, während eng Blockéierp politik kontrolléiert, wéi en Traffic während dem Ausfall vum Tunnel erlaabt ass. Weder dat eng nach dat anert liwwert en funktionéierende drahtlosen Link, a keent vun deenen zwee beweist, datt den Endpunkt propper ass. Wielt ausdrécklech: zouenen Ausfall fir Applikatiounen, déi ni de lokale Wee dierfen benotzen, an erlaabt gewéinlech Surfen ausserhalb vum Tunnel, wann dat akzeptabel ass.

Schreift d'Wiel op, well de Standard a meeschte Cliente keent vun de béide ass, an en ännert sech no der Versioun. Da richt een alternativen Zougangswee an, wann d'Disponibilitéit wichteg ass, wéi en Telefonhotspot mat sengem eegene Datenplang. En akzeptablen Akzeptanztest huet dräi getrennt Resultater: den ugedachten Traffic benotzt den iwwerpréiften Tunnel, onbetraffe lokal Lauschterer sinn onerreechbar, an en Ausfall erzeugt d'Verhalen, dat Dir gewielt hutt.