Јавен Wi-Fi и VPN: што тунелот не покрива

Зелена значка, задоволен портал, браузер што работи: тоа е целата видлива приказна. Значката го испушта тоа што шифрираната врска ја носи токму таа безжична врска од која треба да ве заштити. Таа врска се уште доставува секој пакет, се уште ја гледа адресата на одредиштето и се уште одлучува дали нешто воопшто ќе пристигне. Разгледувањето на страната на преносниот сметач во хотелска врска покажува кои делови ги покрива тунелот, а кои ви ги остава вам.

Пристапната врска носи се

Тунелот IPsec ESP завиткува заштитен внатрешен пакет во надворешно заглавје што мрежата може да го рутира, а RFC 4303 дел 3.1.2 го објаснува тоа разделување. Внатрешниот пакет е тоа што тунелот го штити. Надворешното заглавје е тоа што хотспотот го чита за да го препрати. Другите дизајни инкапсулираат поинаку, но прашањето за планирање е исто: која пристапна патека ја носи оваа врска?

Неисправност на порта или врска што фрла пакети го запира доставувањето без да ја открие содржината. Преминот кон посилна шифра не помага за тоа, бидејќи делот што недостасува е транспорт, а не криптографија. Успешното доставување докажува исто толку малку во спротивната насока, зашто работна патека не кажува ништо за состојбата на ниту една од двете машини.

Вашиот преносен сметач се уште ги има своите врати

Приклучувањето кон недоверлив сегмент менува кој може да ги достигне портите на кои слуша вашата машина. Услуга за споделување датотеки, агент за далечинско управување или развојен сервер врзан за сите интерфејси е достапен за секого во тој сегмент, освен ако нешто не го запре. Сообраќајот што никогаш не влегува во тунелот не е заштитен од него. Слушател што одговара пред тунелот да се подигне е изложен точно за тој прозорец.

Барањето е тесно и вреди точно да се формулира: преносниот сметач мора да ја достигне крајната точка на VPN, а неповрзаните уреди на хотспотот не смеат да достигнат локални услуги. Правилата на хост-огневиот ѕид ја изразуваат таа граница, а и сопствените поставки за споделување на платформата изразуваат дел од неа. Печатач или чекор во порталот е ограничен исклучок што го додавате намерно, а не доказ дека целиот хотспот заслужува доверба на канцелариска LAN.

Некои организации го ограничуваат и локалниот пристап додека е активна работна врска, што е политика, а не инженеринг. Прочитајте ја таа политика пред да исклучите огнен ѕид за да работи периферен уред.

Проверете што всушност слуша

Гледајте ги сокетите, а не страницата со поставки, бидејќи страницата ја опишува намерата, а табелата со сокети ја опишува машината. Двете списоци подолу го одвојуваат секој сокет што слуша од оние до кои соседот би можел да достигне. Извршете ги во недоверливиот сегмент пред да го поврзете тунелот.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Првата команда го покажува секој сокет, а втората филтрира до оние врзани надвор од loopback. Услугата на 0.0.0.0 или :: е достапна на секој интерфејс, вклучително безжичниот, додека истата услуга на 127.0.0.1 воопшто не е достапна од сегментот. Прашањето до резолверот потврдува која патека ја зема името пред тунелот да постои, и токму таму се мешаат заробените портали. Повторете ја списокот по поврзувањето, бидејќи некои клиенти подигнуваат интерфејси што го менуваат одговорот.

Портата што се појавува само додека тунелот е подигнат е помалку изложена, иако за неа се уште вреди да се знае. Запишете ја разликата, а не апсолутната список, бидејќи делтата е тоа што тунелот го додал.

Не прифаќајте нов идентитет во средината на сесијата

Неочекувана промена на рутата, повторно поврзување или пренасочување од портал не е дозвола да прифатите друг идентитет на серверот. Ако клиентот пријави несовпаѓање на сертификат или клуч, третирајте го како наод за идентитет, а не како поврзаност што треба да се заобиколи. Инсталирањето необјаснет коренов сертификат за да работи портал ја претвора проблема со доставата во проблем со довербата. Потоа проблемот со довербата го надживува патувањето што го создало.

Користете го сопствениот тек на браузерот на порталот, потоа повторно поврзете го тунелот и прочитајте го дневникот на клиентот за идентитетот што го потврдил. Неуспехот на идентитетот значи дека спротивната страна не е онаа што ја очекувавте, додека неуспехот на доставата значи дека спротивната страна никогаш не одговорила. Првото е причина да запрете, а второто е причина да пробате друга патека.

Прво одлучете го однесувањето при прекин

Овде се мешаат две различни функции. Повторното поврзување се обидува да ја врати услугата, додека политиката за блокирање контролира кој сообраќај е дозволен додека тунелот е паднат. Ниту едно не обезбедува работна безжична врска, и ниту едно не докажува дека крајната точка е чиста. Изберете експлицитно: затворен неуспех за апликации што никогаш не смеат да ја користат локалната патека, и дозволете обично прелистување надвор од тунелот ако тоа е прифатливо.

Запишете го изборот, бидејќи стандардното во повеќето клиенти не е ниту едно од двете и се менува според верзијата. Потоа обезбедете алтернативна пристапна патека ако достапноста е важна, на пример телефонски хотспот со сопствен план за податоци. Прифатлив тест за прифаќање има три одделни резултати: предвидениот сообраќај го користи проверениот тунел, неповрзаните локални слушатели се недостапни, а прекинот го создава однесувањето што сте го избрале.