Firwat en gedeelte TAP VPN nach ëmmer HTTPS um Portal brauch
En TAP VPN authentifizéiert de Peer, net de Service dohannert. Halt d'Hostnamevalidéierung um Portal a isoléier Noperen, deenen s du net traus.
Zwee Apparater hunn valabel VPN-Umeldungsdaten an deelen ee gebréckten Ethernet-Segment. Nëmmen een vun hinnen soll fir de Büroportal äntweren, an deen aneren kann d'Portaladress op deem Segment nach ëmmer beanspruchen. Den Tunnel huet seng Aarbecht gemaach: hien huet béid Peere authentifizéiert an all Wee zum Server verschlësselt. Wat hien net gemaach huet, war ze zertifizéieren, wien vun hinnen e Servicenumm besëtzt, an exactly dës Lück ass de Grond, firwat de Portal nach ëmmer e valabelt Zertifikat brauch.
Wat den VPN tatsächlech authentifizéiert
En VPN-Handshake beäntwert eng Fro: wéi ee Peer dësen Tunnel mat wéi engem Schlësselmaterial ofgeschloss huet. Déi Äntwert gëllt pro Peer a pro Verbindung an seet näischt iwwer d'Servicer, déi deen Peer duerno ubitt. Op engem TAP-Segment ass de Peer net emol eng eenzeg Adress, well hien all MAC an all IP presentéiere kann, déi d'Bréck bereet ass ze léieren. D'Authentifizéierung stoppt um Tunnelendpunkt, net an der Applikatioun.
Trennt déi dräi Froen, amplaz se an eng ze verschmëlzen. Jidderee huet säin eegene Mechanismus a seng eege Manéier ze versoen.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Eng Installatioun kann en perfekt authentifizéierten Tunnel an dohannert e komplett net authentifizéierte Service hunn. Si kann och en validéiert Zertifikat op engem Host hunn, deem seng Adress vun der zweeter Schicht vun engem anere Peer beansprucht gëtt, an dofir gehéieren béid Kontrollen an den Design, amplaz datt déi eng déi aner ersetzt. D'Tabell ass dat ganzt Argument an dräi Zeilen.
ARP op engem gedeelte Segment ass keen Adressbuch
ARP verbënnt eng IPv4-Adress mat enger MAC um lokale Link a akzeptéiert Äntwerten vun jidderengem op deem Link. Op engem permisive gebréckten Segment kann e Peer eng Adress beanspruchen, déi engem aneren Apparat gehéiert, an d'Bréck leet Frames un deen weider, deen als Lescht geäntwert huet. D'Verschlësselung vun all Clientwee zum Server ännert dat net, well d'Frames entschlësselt ginn, ier se d'Bréck erreechen. D'Vertrauensgrenz vum ARP ass de Segment, net den Tunnel.
Kuckt, wat den Host tatsächlech geléiert huet: ip neigh show lëscht déi aktuell Verbindungen an hire Statut op, an en Antrag, deen am normale Betrib tëscht zwou MAC-Adressen hin an hier spréngt, ass e Symptom, dee verdéngt ënnersicht ze ginn, amplaz en ofzeschreiwen. Op engem gesonde klengen Segment bleiwen esou Anträg laang stabil.
Peer-Isolatioun a Bréckpolitik ginn et genau fir dëse Fall. En gerouteten Design ass meeschtens déi besser Äntwert, wann de Service nëmmen IP ass an d'Apparater keen Grond hunn, sech géigesäiteg Frames ze gesinn.
Halt d'Zertifikatsvalidéierung do, wou de Service ass
Den TLS vun der Applikatioun beäntwert d'Fro, déi den Tunnel net kann: ass dëst de Service, deen ech wollt erreechen. De Browser vergläicht den Hostnumm mam Zertifikat, an déi Kontroll ass den eenzegen Deel vun der Kette, deen de Portal an net de Peer nennt.
Kuckt, wat de Server presentéiert, ier dir entscheet, datt d'Warnung kosmetesch ass. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal dréckt d'Kette an déi alternativ Nimm vum Subjekt. Wann den Numm, deen dir agesat hutt, net op dëser Lëscht steet, ass d'Warnung richteg an d'Zertifikat ass dat, wat muss verbessert ginn. Benotzer bäibréngen, se z'iwwersprangen, mécht aus enger funktionéierender Kontroll Dekoratioun.
OpenVPN-Bridging-Guide beschreift d'Ethernet-Modell an d'Politikoptiounen ronderëm, an et ass déi richteg Referenz fir dat, wat de Segment soll erlaben. Liest en, ier dir eng Bréckregel lockert, well dat beschriwwent Modell dat ass, wat all Kontroll uewe viraussetzt.
Entscheet, ob déi Peere sollen iwwerhaapt e Segment deelen
Déi billigst Léisung ass meeschtens, d'zweet Schicht net méi ze deelen, wann d'Ufuerderung nëmmen IP-Erreechbarkeet ass. En gerouteten VPN gëtt all Client seng eegen Adress, entfernt de gedeelte Broadcast-Domän an mécht den Traffic tëscht Peeren zu enger Politikentscheedung amplaz enger Standardastellung. Dann huet de Portal eng eenzeg Adress ze schützen an keng Noperen, déi se kënne beanspruchen.
Wann de Segment muss bleiwen, kontrolléiert d'serversäiteg Astellung, déi Clienten erlaabt, sech géigesäiteg z'erreechen: grep -n client-to-client /etc/openvpn/server.conf. Wann se desaktivéiert ass, geet de Clienttraffic iwwer de Server a kann do gefiltert ginn. Wann se aktivéiert ass, tauschen d'Peere Frames direkt iwwer d'Bréck aus, an deng Filterpunkte sinn d'Bréck an d'Host-Firewall.
Schreif op, op wéi eng Schützer all Host tatsächlech setzt: Tunnelauthentifizéierung, Segmentisolatioun oder Applikatiouns-TLS. En Host, deen op all dräi setzt, ass a Ordnung. En Host, deen op déi éischt setzt an unhëlt, datt déi aner zwee matkomm sinn, ass deen, dee schlussendlech de falschen Inhalt serviéiert.