Publiskais Wi-Fi un VPN: ko tunelis neaptver

Zaļa emblēma, apmierināts portāls, strādājoša pārlūkprogramma: tas ir viss redzamais stāsts. Ko emblēma izlaiž — šifrēto savienojumu pārnēsā tieši tas bezvadu savienojums, no kura tam jūs jāaizsargā. Šis savienojums joprojām piegādā katru paketi, joprojām redz galamērķa adresi un joprojām izlemj, vai vispār kaut kas pienāks. Viesnīcas savienojuma klēpjdatora puses izskatīšana parāda, kuras daļas tunelis aptver un kuras atstāj jums.

Piekļuves saite pārnēsā visu

IPsec ESP tunelis iesaiņo aizsargātu iekšējo paketi ārējā galvenē, kuru tīkls var maršrutēt, un RFC 4303 3.1.2 sadaļa izskaidro šo sadalījumu. Iekšējo paketi tunelis aizsargā. Ārējo galveni lasa hotspot, lai to pārsūtītu. Citi risinājumi iekapsulē citādi, bet plānošanas jautājums ir tāds pats: kurš piekļuves ceļš pārnēsā šo savienojumu?

Vārtejas kļūme vai saite, kas izmet paketes, aptur piegādi, neatklājot saturu. Pāreja uz stiprāku šifru tam neko nedod, jo trūkstošā daļa ir transports, nevis kriptogrāfija. Veiksmīga piegāde pretējā virzienā pierāda tikpat maz, jo strādājošs ceļš neko nesaka par abu mašīnu stāvokli.

Jūsu klēpjdatoram joprojām ir savas durvis

Pievienošanās neuzticamam segmentam maina to, kas var sasniegt portus, kuros klausās jūsu mašīna. Failu koplietošanas pakalpojums, attālinātās administrēšanas aģents vai izstrādes serveris, kas piesaistīts visiem interfeisiem, ir sasniedzams jebkuram šajā segmentā, ja vien kaut kas to neaptur. Satiksme, kas nekad neiekļūst tunelī, ar to nav aizsargāta. Klausītājs, kas atbild pirms tuneļa pacelšanas, ir pakļauts tieši šim logam.

Prasība ir šaura, un to ir vērts formulēt precīzi: klēpjdatoram jāsasniedz VPN galapunkts, un nesaistītām ierīcēm hotspotā nav jāsasniedz vietējie pakalpojumi. Uzņēmēja ugunsmūra noteikumi izsaka šo robežu, un arī pašas platformas koplietošanas iestatījumi izsaka daļu no tās. Printeris vai portāla solis ir ierobežots izņēmums, ko pievienojat apzināti, nevis pierādījums, ka viss hotspots ir pelnījis biroja LAN uzticēšanos.

Dažas organizācijas ierobežo arī vietējo piekļuvi, kamēr darbojas darba savienojums, un tā ir politika, nevis inženierija. Izlasiet šo politiku pirms ugunsmūra izslēgšanas, lai perifērijas ierīce strādātu.

Pārbaudiet, kas patiešām klausās

Skatieties uz ligzdām, nevis iestatījumu lapu, jo lapa apraksta nodomu, bet ligzdu tabula apraksta mašīnu. Divi saraksti zemāk atdala katru klausošo ligzdu no tām, ko kaimiņš varētu sasniegt. Palaidiet tos neuzticamajā segmentā pirms tuneļa pievienošanas.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Pirmā komanda parāda katru ligzdu, bet otrā filtrē tās, kas piesaistītas ārpus loopback. Pakalpojums uz 0.0.0.0 vai :: ir pieejams katrā interfeisā, tostarp bezvadu, savukārt tas pats pakalpojums uz 127.0.0.1 no segmenta vispār nav sasniedzams. Resolvera vaicājums apstiprina, kuru ceļu vārds iet pirms tuneļa pastāvēšanas, un tieši tur iejaukjas sagūstītie portāli. Atkārtojiet sarakstu pēc savienojuma, jo daži klienti paceļ interfeisus, kas maina atbildi.

Ports, kas parādās tikai tad, kamēr tunelis ir pacelts, ir mazāk pakļauts, lai gan par to joprojām ir vērts zināt. Pierakstiet starpību, nevis absolūto sarakstu, jo delta ir tas, ko tunelis pievienoja.

Nepieņemiet jaunu identitāti sesijas vidū

Negaidīta maršruta maiņa, atkārtota savienošanās vai portāla novirzīšana nav atļauja pieņemt citu servera identitāti. Ja klients ziņo par sertifikāta vai atslēgas neatbilstību, uzskatiet to par identitātes atradumu, nevis savienojamību, ko apiet. Neizskaidrojama saknes sertifikāta instalēšana, lai portāls strādātu, pārvērš piegādes problēmu uzticēšanās problēmā. Tad uzticēšanās problēma pārdzīvo ceļojumu, kas to radīja.

Izmantojiet paša portāla pārlūka plūsmu, pēc tam atkārtoti pievienojiet tuneli un klienta žurnālā izlasiet, kādu identitāti tas pārbaudīja. Identitātes kļūme nozīmē, ka pretējā puse nav tā, kuru gaidījāt, savukārt piegādes kļūme nozīmē, ka pretējā puse nekad neatbildēja. Pirmā ir iemesls apstāties, otrā ir iemesls pamēģināt citu ceļu.

Vispirms izlemiet uzvedību pārtraukuma laikā

Šeit tiek sajauktas divas dažādas funkcijas. Atkārtota savienošanās mēģina atjaunot pakalpojumu, bet bloķēšanas politika kontrolē, kāda satiksme ir atļauta, kamēr tunelis ir izslēgts. Neviena nepiegādā strādājošu bezvadu saiti, un neviena nepierāda, ka galapunkts ir tīrs. Izvēlieties skaidri: slēgta kļūme lietojumprogrammām, kurām nekad nav jāizmanto vietējais ceļš, un atļaujiet parasto pārlūkošanu ārpus tuneļa, ja tas ir pieņemami.

Pierakstiet izvēli, jo vairumā klientu noklusējums nav ne viens, ne otrs, un tas mainās atkarībā no versijas. Pēc tam, ja pieejamība ir svarīga, sagatavojiet alternatīvu piekļuves ceļu, piemēram, tālruņa hotspotu ar savu datu plānu. Pieņemamam pieņemšanas testam ir trīs atsevišķi rezultāti: paredzētā satiksme izmanto pārbaudīto tuneli, nesaistīti vietējie klausītāji nav sasniedzami, un pārtraukums rada izvēlēto uzvedību.