Bendrinė VPN paskyra: įrenginių limitas nėra klientų izoliacija

Aštuoni vienu metu veikiantys ryšiai yra skaičius iš licencijos puslapio, ir jis nieko nesako apie tai, ką tie aštuoni įrenginiai gali vienas kitam padaryti. Bendras prisijungimas gali egzistuoti kartu su sesijos raktais, o taip pat gali egzistuoti su tinklo vartais, kurie mielai persiunčia vieno kliento srautą kitam. Klaida yra laikyti paskyrą saugumo riba. Užduokite keturis atskirus klausimus: kas nupirkta, kas saugo tunelį, kas gali pereiti tarp partnerių ir kas gali numesti vietinę grandį.

Ką iš tikrųjų žada ryšių limitas

Įrenginių limitas skaičiuoja, kiek sesijų tiekėjas priims vienai prenumeratai. Tai komercinė ir operacinė kontrolė, o ne pareiškimas apie tapatybę ar izoliaciją. Kai kurie tiekėjai išduoda atskirą sertifikatą kiekvienam įrenginiui vienoje paskyroje; kiti pakartotinai naudoja vieną prisijungimo duomenį kiekvienam ryšiui. Skirtumas pasimato atšaukiant, nes atskiri duomenys leidžia atjungti vieną įrenginį, o bendri tokios galimybės nepalieka.

Perskaitykite, kaip tiekėjas išduoda prisijungimo duomenis, prieš manydami ką nors apie raktų atskyrimą. Pats paskyros pavadinimas apie tai nieko neatskleidžia.

Patikrinkite, ar vartai persiunčia tarp klientų

Pasiekiamumas tarp partnerių yra serverio pusės sprendimas. OpenVPN atveju atitinkamas jungiklis neegzistuoja, nebent jis nurodytas konfigūracijoje, tačiau šiuolaikinis duomenų plokštumos iškėlimas keičia, kur taisyklė taikoma.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfigūracija be tos direktyvos palieka srautą tarp partnerių prieglobos ugniasienei, kuri vis tiek gali jį leisti. Kai iškėlimas aktyvus, tunelio sąsają tvarko branduolys, o ne vartotojo erdvės procesas, todėl tikrinkite taisyklių skaitiklius, o ne pasitikėkite failu. Persiunčiamo srauto tarp tunelio adresų blokavimas izoliuoja klientus nepaliesdamas jų prieigos prie vartų. Patvirtinkite tai bandymu iš vieno kliento į kito kliento paslaugą, tiek prieš taisyklę, tiek po jos.

Apsaugokite sesiją prieš partnerius

Tunelio apsauga ir partnerių prieiga yra skirtingos savybės, o stiprus šifras nereiškia izoliacijos. TLS režimu kiekvienas klientas išveda savo sesijos raktus, todėl vienas klientas negali skaityti kito srauto net kai vartai jį persiunčia. Senoji statinio rakto schema dalija vieną raktą visiems, todėl pakartotinis prisijungimo naudojimas ten turi daug blogesnių pasekmių. Išnagrinėkite sukonfigūruotą režimą, o ne rinkodaros puslapį, ir tada įvertinkite, ar paskyros bendrinimas tinka atitinkamiems duomenims.

Paslaugos autentifikavimas kiekviename prieglobos serveryje vis dar svarbus, nes tunelis įrodo tik tai, kad klientas pasiekė tinklą, o ne kad jis turi pasiekti konkretų demoną.

Vietiniai Wi-Fi gedimai nėra VPN pažeidimas

Nutrūkęs ryšys įrodo, kad vietinė grandis sugedo, o ne tai, kad kas nors nulaužė tunelį. Trukdžiai, prarasta DHCP nuoma ir perėjimas tarptinkliniu režimu baigia sesiją neliesdami prisijungimo duomenų ar šifruoto teksto. Atskyrimą traktuokite kaip prieinamumo radinį ir laikykite jį atskirai nuo konfidencialumo bei partnerių prieigos radinių. Ten, kur vietinis tinklas nepatikimas, saugokite srautą nuo galo iki galo, o ne tik pasikliaukite tuneliu.

Užsirašykite keturis atsakymus: leidimas, raktų modelis, partnerių politika ir priklausomybė nuo vietinės grandies. Tas įrašas neaiškų nerimą dėl bendros paskyros paverčia konkrečiomis kontrolėmis.