Viešas Wi-Fi ir VPN: ko tunelis neapima

Žalias ženklelis, patenkintas portalas, veikianti naršyklė: tai visa matoma istorija. Ko ženklelis nepamini – kad šifruotą ryšį neša būtent ta belaidė jungtis, nuo kurios jis turėtų jus apsaugoti. Ta jungtis vis dar pristato kiekvieną paketą, vis dar mato paskirties adresą ir vis dar nusprendžia, ar kas nors apskritai atvyks. Apžvelgus viešbučio ryšio nešiojamojo kompiuterio pusę matyti, kurias dalis tunelis apima, o kurias palieka jums.

Prieigos jungtis neša viską

IPsec ESP tunelis įvynioja apsaugotą vidinį paketą į išorinę antraštę, kurią tinklas gali maršrutizuoti, o RFC 4303 3.1.2 skirsnis paaiškina tą atskyrimą. Vidinį paketą tunelis saugo. Išorinę antraštę skaito hotspotas, kad jį persiųstų. Kitos konstrukcijos inkapsuliuoja kitaip, bet planavimo klausimas tas pats: kuris prieigos kelias neša šį ryšį?

Šliuzo gedimas arba paketus metanti jungtis sustabdo pristatymą neatskleisdama turinio. Perėjimas prie stipresnio šifro tam nieko neduoda, nes trūkstama dalis yra transportas, o ne kriptografija. Sėkmingas pristatymas priešinga kryptimi įrodo lygiai tiek pat mažai, nes veikiantis kelias nieko nesako apie abiejų mašinų būseną.

Jūsų nešiojamasis kompiuteris vis dar turi savo duris

Prisijungimas prie nepatikimo segmento pakeičia, kas gali pasiekti prievadus, kuriuose klausosi jūsų mašina. Bylų bendrinimo paslauga, nuotolinio administravimo agentas arba prie visų sąsajų pririštas kūrimo serveris yra pasiekiamas bet kam tame segmente, nebent kažkas jį sustabdytų. Srautas, kuris niekada nepatenka į tunelį, juo neapsaugotas. Klausytojas, atsakantis prieš tuneliui keliantis, yra atviras būtent tam langui.

Reikalavimas siauras ir vertas tiksliai suformuluoti: nešiojamasis kompiuteris turi pasiekti VPN galinį tašką, o nesusiję įrenginiai hotspot'e neturi pasiekti vietinių paslaugų. Pagrindinio kompiuterio ugniasienės taisyklės išreiškia tą ribą, o pačios platformos bendrinimo nuostatos taip pat išreiškia dalį jos. Spausdintuvas ar portalo žingsnis yra apribota išimtis, kurią pridedate sąmoningai, o ne įrodymas, kad visas hotspotas nusipelno biuro LAN pasitikėjimo.

Kai kurios organizacijos taip pat riboja vietinę prieigą, kol aktyvus darbo ryšys, ir tai yra politika, o ne inžinerija. Perskaitykite tą politiką prieš išjungdami ugniasienę, kad veiktų išorinis įrenginys.

Patikrinkite, kas iš tikrųjų klausosi

Žiūrėkite į lizdus, o ne į nustatymų puslapį, nes puslapis apibūdina ketinimą, o lizdų lentelė apibūdina mašiną. Du sąrašai žemiau atskiria kiekvieną klausantį lizdą nuo tų, kuriuos galėtų pasiekti kaimynas. Paleiskite juos nepatikimame segmente prieš prijungdami tunelį.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Pirmoji komanda rodo kiekvieną lizdą, o antroji filtruoja tuos, kurie susieti už loopback. Paslauga 0.0.0.0 arba :: adresu yra prieinama kiekvienoje sąsajoje, įskaitant belaidę, o ta pati paslauga 127.0.0.1 adresu iš segmento visai nepasiekiama. Resolverio užklausa patvirtina, kokiu keliu vardas eina prieš atsirandant tuneliui, ir būtent ten įsikiša įkaitę portalai. Pakartokite sąrašą po prisijungimo, nes kai kurie klientai pakelia sąsajas, kurios pakeičia atsakymą.

Prievadas, kuris atsiranda tik kai tunelis pakeltas, yra mažiau atviras, nors apie jį vis tiek verta žinoti. Užrašykite skirtumą, o ne absoliutų sąrašą, nes delta yra tai, ką tunelis pridėjo.

Nepriimkite naujos tapatybės sesijos viduryje

Netikėtas maršruto pakeitimas, pakartotinis prisijungimas ar portalo peradresavimas nėra leidimas priimti kitą serverio tapatybę. Jei klientas praneša apie sertifikato ar rakto neatitikimą, traktuokite tai kaip tapatybės radinį, o ne kaip ryšį, kurį reikia apeiti. Neaiškaus šakninio sertifikato įdiegimas, kad veiktų portalas, pristatymo problemą paverčia pasitikėjimo problema. Tada pasitikėjimo problema pergyvena kelionę, kuri ją sukūrė.

Naudokite paties portalo naršyklės srautą, tada vėl prijunkite tunelį ir perskaitykite kliento žurnale, kokią tapatybę jis patvirtino. Tapatybės klaida reiškia, kad kita pusė ne ta, kurios tikėjotės, o pristatymo klaida reiškia, kad kita pusė niekada neatsakė. Pirmoji yra priežastis sustoti, o antroji – priežastis pabandyti kitą kelią.

Pirmiausia nuspręskite elgseną nutrūkus ryšiui

Čia painiojamos dvi skirtingos funkcijos. Pakartotinis prisijungimas bando atkurti paslaugą, o blokavimo politika kontroliuoja, koks srautas leidžiamas, kol tunelis neveikia. Nė viena nesuteikia veikiančios belaidės jungties ir nė viena neįrodo, kad galinis taškas švarus. Pasirinkite aiškiai: uždaros klaidos programoms, kurios niekada neturi naudoti vietinio kelio, ir leiskite įprastą naršymą už tunelio, jei tai priimtina.

Užrašykite pasirinkimą, nes daugumos klientų numatytoji reikšmė nėra nė viena, ir ji skiriasi priklausomai nuo versijos. Tada, jei prieinamumas svarbus, suorganizuokite alternatyvų prieigos kelią, pavyzdžiui, telefono hotspotą su savo duomenų planu. Priimtinas priėmimo testas turi tris atskirus rezultatus: numatytas srautas naudoja patikrintą tunelį, nesusiję vietiniai klausytojai nepasiekiami, o nutrūkimas sukuria pasirinktą elgseną.