Зошто споделен TAP VPN сѐ уште бара HTTPS на порталот
TAP VPN го автентицира партнерот, а не услугата зад него. Задржете ја проверката на името на домаќинот на порталот и изолирајте ги соседите на кои не им верувате.
Два уреда имаат валидни VPN акредитиви и делат еден мостен Ethernet сегмент. Само еден од нив треба да одговара за канцеларискиот портал, а другиот сѐ уште може да ја бара адресата на порталот на тој сегмент. Тунелот ја заврши својата работа: ги автентицираше двата партнера и ја шифрираше секоја патека до серверот. Она што не го направи е да потврди кој од нив поседува име на услуга, и токму тој јаз е причината зошто порталот сѐ уште бара валиден сертификат.
Што всушност автентицира VPN-от
Ракувањето на VPN-от одговара на едно прашање: кој партнер го заврши овој тунел и со каков клучен материјал. Тој одговор е по партнер и по врска и не кажува ништо за услугите што партнерот ги изложува потоа. На TAP сегмент партнерот не е ниту една адреса, бидејќи може да претстави која било MAC и кое било IP што мостот е подготвен да го научи. Автентикацијата запира на крајот на тунелот, не во апликацијата.
Одделете ги трите прашања наместо да ги спојувате во едно. Секое има свој механизам и свој начин на откажување.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Распоредувањето може да има совршено автентициран тунел и целосно неавтентицирана услуга зад него. Може да има и валидиран сертификат на домаќин чија адреса од втор слој ја бара друг партнер, и затоа двете контроли припаѓаат во дизајнот наместо едната да ја замени другата. Табелата е целиот аргумент во три реда.
ARP на споделен сегмент не е именик
ARP пресликува IPv4 адреса во MAC на локалната врска и прифаќа одговори од секого на таа врска. На попустлив мостен сегмент партнер може да бара адреса што му припаѓа на друг уред, а мостот ги препраќа рамките кон тој што одговорил последен. Шифрирањето на секоја клиентска патека до серверот тоа не го менува, бидејќи рамките се дешифрираат пред да стигнат до мостот. Границата на доверба на ARP е сегментот, а не тунелот.
Погледнете што всушност научил домаќинот: ip neigh show ги наведува тековните пресликувања и нивната состојба, а записот што за време на нормално работење се менува меѓу две MAC адреси е симптом што вреди да се истражи наместо да се отфрли. На здрав мал сегмент таквите записи остануваат стабилни долго време.
Изолацијата на партнерите и политиката на мостот постојат токму за овој случај. Рутиран дизајн е обично подобриот одговор кога услугата е само IP и уредите немаат никаква причина да ги гледаат рамките еден на друг.
Задржете ја проверката на сертификатот таму каде што е услугата
TLS-от на апликацијата одговара на прашањето што тунелот не може: дали ова е услугата до која сакав да стигнам. Прелистувачот го проверува името на домаќинот во однос на сертификатот, и таа проверка е единствениот дел од синџирот што го именува порталот, а не партнерот.
Проверете што презентира серверот пред да одлучите дека предупредувањето е козметичко. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal ја печати синџирот и алтернативните имиња на субјектот. Ако името што го внесовте го нема на тој список, предупредувањето е точно и сертификатот е она што треба да се поправи. Учењето на корисниците да го прескокнуваат претвора работна контрола во украс.
Водичот за мостење на OpenVPN го опишува Ethernet моделот и опциите за политика околу него, и тоа е вистинската референца за она што сегментот треба да го дозволи. Прочитајте го пред да олабавите правило за мост, бидејќи моделот што го опишува е она што го претпоставува секоја проверка погоре.
Одлучете дали тие партнери воопшто треба да делат сегмент
Најевтиното решение обично е да престанете да го делите вториот слој кога барањето е само IP достапност. Рутираниот VPN му дава на секој клиент сопствена адреса, го отстранува заедничкиот домен за емитување и го претвора сообраќајот меѓу партнерите во политичка одлука наместо стандардно однесување. Тогаш порталот има една адреса за заштита и нема соседи што можат да ја бараат.
Ако сегментот мора да остане, проверете го поставувањето на страната на серверот што им дозволува на клиентите да се достапуваат: grep -n client-to-client /etc/openvpn/server.conf. Кога е оневозможено, клиентскиот сообраќај поминува низ серверот и може да се филтрира таму. Кога е овозможено, партнерите разменуваат рамки директно преку мостот, а вашите точки за филтрирање се мостот и огнениот ѕид на домаќинот.
Запишете на кои заштити всушност се потпира секој домаќин: автентикација на тунелот, изолација на сегментот или TLS на апликацијата. Домаќин што се потпира на сите три е во ред. Домаќин што се потпира на првата и претпоставува дека другите две дошле со неа е тој што на крајот служи погрешна содржина.