Kāpēc koplietotam TAP VPN portālā joprojām vajadzīgs HTTPS
TAP VPN autentificē partneri, nevis pakalpojumu aiz tā. Saglabājiet resursdatora nosaukuma validāciju portālā un izolējiet kaimiņus, kuriem neuzticaties.
Divām ierīcēm ir derīgi VPN akreditācijas dati, un tās koplieto vienu tiltota Ethernet segmentu. Tikai vienai no tām būtu jāatbild par biroja portālu, un otra joprojām var pieprasīt portāla adresi šajā segmentā. Tunelis izdarīja savu darbu: tas autentificēja abus partnerus un šifrēja katru ceļu uz serveri. Tas, ko tas neizdarīja, bija apliecināt, kurai no tām pieder pakalpojuma nosaukums, un tieši šī plaisa ir iemesls, kāpēc portālam joprojām vajadzīgs derīgs sertifikāts.
Ko VPN faktiski autentificē
VPN rokasspiediens atbild uz vienu jautājumu: kurš partneris pabeidza šo tuneli un ar kādu atslēgas materiālu. Šī atbilde attiecas uz katru partneri un katru savienojumu, un tā neko nepasaka par pakalpojumiem, ko šis partneris pēc tam piedāvā. TAP segmentā partneris nav pat viena adrese, jo tas var uzrādīt jebkuru MAC un jebkuru IP, ko tilts ir gatavs apgūt. Autentifikācija apstājas tuneļa galapunktā, nevis lietojumprogrammā.
Atdaliet trīs jautājumus, nevis sapludiniet tos vienā. Katram ir savs mehānisms un savs kļūmes veids.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Izvietojumā var būt pilnīgi autentificēts tunelis un aiz tā pilnīgi neautentificēts pakalpojums. Tam var būt arī validēts sertifikāts resursdatorā, kura otrā slāņa adresi pieprasa cits partneris, un tāpēc dizainā jābūt abām kontrolēm, nevis vienai otras vietā. Tabula ir viss arguments trīs rindās.
ARP koplietotā segmentā nav adrešu grāmata
ARP kartē IPv4 adresi uz MAC lokālajā saitē un pieņem atbildes no jebkura šajā saitē. Pieļāvīgā tiltotā segmentā partneris var pieprasīt adresi, kas pieder citai ierīcei, un tilts pārsūta kadrus tam, kas atbildēja pēdējais. Katra klienta ceļa šifrēšana uz serveri to nemaina, jo kadri tiek atšifrēti pirms tilta sasniegšanas. ARP uzticības robeža ir segments, nevis tunelis.
Apskatiet, ko resursdators faktiski iemācījās: ip neigh show uzskaita pašreizējos kartējumus un to stāvokli, un ieraksts, kas normālas darbības laikā mainās starp divām MAC adresēm, ir simptoms, ko vērts izmeklēt, nevis ignorēt. Veselīgā mazā segmentā šādi ieraksti ilgu laiku paliek stabili.
Partneru izolācija un tilta politika pastāv tieši šim gadījumam. Maršrutēts dizains parasti ir labāka atbilde, ja pakalpojums ir tikai IP un ierīcēm nav nekāda iemesla redzēt viena otras kadrus.
Saglabājiet sertifikāta validāciju tur, kur atrodas pakalpojums
Lietojumprogrammas TLS atbild uz jautājumu, uz ko tunelis nevar atbildēt: vai šis ir tas pakalpojums, kuru gribēju sasniegt. Pārlūkprogramma pārbauda resursdatora nosaukumu pret sertifikātu, un šī pārbaude ir vienīgā ķēdes daļa, kas nosauc portālu, nevis partneri.
Pārbaudiet, ko serveris uzrāda, pirms nolemjat, ka brīdinājums ir kosmētisks. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal izdrukā ķēdi un subjekta alternatīvos nosaukumus. Ja ievadītais nosaukums šajā sarakstā nav, brīdinājums ir pareizs un labojams ir sertifikāts. Mācīt lietotājiem to apiet nozīmē pārvērst strādājošu kontroli par dekorāciju.
OpenVPN tiltu veidošanas rokasgrāmata apraksta Ethernet modeli un politikas opcijas ap to, un tā ir pareizā atsauce uz to, ko segmentam būtu jāatļauj. Izlasiet to pirms tilta noteikuma atslābināšanas, jo aprakstītais modelis ir tas, ko pieņem katra iepriekš minētā pārbaude.
Izlemiet, vai šiem partneriem vispār jākoplieto segments
Lētākais risinājums parasti ir pārtraukt otrā slāņa koplietošanu, ja prasība ir tikai IP sasniedzamība. Maršrutēts VPN piešķir katram klientam savu adresi, noņem koplietoto apraides domēnu un pārvērš satiksmi starp partneriem par politikas lēmumu, nevis noklusējumu. Tad portālam ir viena adrese, ko aizsargāt, un nav kaimiņu, kas varētu to pieprasīt.
Ja segmentam jāpaliek, pārbaudiet servera puses iestatījumu, kas ļauj klientiem sasniegt cits citu: grep -n client-to-client /etc/openvpn/server.conf. Kad tas ir atspējots, klientu satiksme iet caur serveri un tur var tikt filtrēta. Kad tas ir iespējots, partneri apmainās ar kadriem tieši caur tiltu, un jūsu filtrēšanas punkti ir tilts un resursdatora ugunsmūris.
Pierakstiet, uz kādām aizsardzībām katrs resursdators faktiski paļaujas: tuneļa autentifikāciju, segmenta izolāciju vai lietojumprogrammas TLS. Resursdators, kas paļaujas uz visām trim, ir kārtībā. Resursdators, kas paļaujas uz pirmo un pieņem, ka pārējās divas nāca kopā ar to, ir tas, kas galu galā pasniedz nepareizo saturu.