Споделена VPN сметка: ограничувањето на уреди не е изолација на клиенти

Осум истовремени врски е број од страница за лиценца и не кажува ништо за тоа што можат тие осум уреди да си направат еден на друг. Споделената најава може да постои заедно со клучеви по сесија, а може да постои и со портал што со задоволство го препраќа сообраќајот на еден клиент кон друг. Грешка е да се смета сметката за безбедносна граница. Наместо тоа, поставете четири одделни прашања: што е купено, што го штити тунелот, што смее да премине меѓу партнерите и што може да го урне локалниот приклучок.

Што всушност ветува дозволата за врски

Ограничувањето на уреди брои колку сесии ќе прими давателот за една претплата. Тоа е комерцијална и оперативна контрола, а не изјава за идентитет или изолација. Некои даватели издаваат одделен сертификат за секој уред под една сметка; други одново го користат едно исто уверение за секоја врска. Разликата се гледа при отповикување, бидејќи одделните уверенија ви дозволуваат да отсечете еден уред, а споделеното не ви остава таква можност.

Прочитајте како давателот издава уверенија пред да претпоставите нешто за одвојувањето на клучевите. Самото име на сметката не открива ништо од тоа.

Проверете дали порталот препраќа меѓу клиенти

Достапноста меѓу партнерите е одлука на страната на серверот. На OpenVPN соодветниот прекинувач отсуствува освен ако не е наведен во конфигурацијата, но современото растоварување на податочната рамнина менува каде се применува правилото.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Конфигурацијата без таа директива го остава сообраќајот меѓу партнерите на огнениот ѕид на домаќинот, кој сепак може да го дозволи. Кога растоварувањето е активно, со тунелскиот интерфејс раководи јадрото наместо процесот во корисничкиот простор, затоа проверете ги бројачите на правила, наместо да ѝ верувате на датотеката. Блокирањето на препратениот сообраќај меѓу адресите на тунелот ги изолира клиентите без да го допре нивниот пристап до порталот. Потврдете го тоа со проба од еден клиент кон услуга кај друг, и пред правилото и по него.

Заштитете ја сесијата пред партнерите

Заштитата на тунелот и пристапот меѓу партнерите се различни својства, а силната шифра не значи изолација. Во режим TLS секој клиент изведува свои сесиски клучеви, така што еден клиент не може да го чита сообраќајот на друг дури и кога порталот го препраќа. Старото решение со статичен клуч дели еден клуч меѓу сите, поради што повторната употреба на најава таму има далеку полоши последици. Проверете го конфигурираниот режим, а не маркетинг-страницата, па проценете дали споделувањето сметка одговара на предметните податоци.

Проверката на идентитет на услугата на секој домаќин останува важна, бидејќи тунелот докажува само дека клиент стигнал до мрежата, не дека треба да стигне до одреден демон.

Локалните дефекти на Wi-Fi не се компромитација на VPN

Прекинатата врска докажува дека локалниот приклучок откажал, а не дека некој го пробил тунелот. Пречки, изгубен закуп на DHCP и премин при роаминг ја завршуваат сесијата без да ги допрат уверенијата или шифрираниот текст. Третирајте го прекинот како наод за достапност и држете го одвоено од наодите за доверливост и пристап меѓу партнерите. Каде што локалната мрежа не е доверлива, заштитете го сообраќајот од крај до крај, наместо да се потпирате само на тунелот.

Запишете ги четирите одговори: дозвола, модел на клучеви, политика кон партнерите и зависност од локалниот приклучок. Тој запис ја претвора нејасната загриженост за споделена сметка во конкретни контроли.