പങ്കിട്ട പിസിയിലെ ഒരു VPN ലോഗിൻ: റൂട്ട് മറ്റാരു ലഭിക്കുന്നു?
VPN ലോഗിൻ ഒരു വ്യക്തിയെ സാധൂകരിക്കുന്നു; അത് ഇൻസ്റ്റാൾ ചെയ്യുന്ന റൂട്ട് മറ്റൊരു പരിധിയാണ്. പങ്കിട്ട യന്ത്രത്തിൽ ഹോസ്റ്റ് മുഴുവൻ, ഉപയോക്താവ്, ആപ്പ് എന്നിവയിലുള്ള ടണലുകൾ താരതമ്യം ചെയ്യുക.
ഒരു വർക്ക്സ്റ്റേഷൻ പങ്കിടുന്നത് ഒരു ഉപയോക്താവിന്റെ ലാപ്ടോപ്പ് ഒരിക്കലും ഉത്തരം നൽകേണ്ടിവരാത്ത ഒരു ചോദ്യം ഉയർത്തുന്നു: ഒരു വ്യക്തി ടണൽ സാധൂകരിച്ചാൽ, അത് മറ്റാരു ഉപയോഗിക്കാം? ലോഗിൻ ഒരു വിഷയത്തെ തിരിച്ചറിയുന്നു, ഇൻസ്റ്റാൾ ചെയ്യുന്ന റൂട്ട് ഒരു പരിധിയെ വിവരിക്കുന്നു, ഈ രണ്ടും ഒരേ വസ്തുവല്ല. അവയ്ക്കിടയിൽ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം, ക്ലയന്റിന്റെ കോൺഫിഗറേഷൻ, സ്വകാര്യ സേവനം സ്വയം ആവശ്യപ്പെടുന്നത് എന്നിവയുണ്ട്. ഊഹിക്കാതെ ഉത്തരം നൽകാനുള്ള ഏക മാർഗം നിർവഹണ പോയിന്റുകൾ താരതമ്യം ചെയ്യുന്നതാണ്.
ഒരു ലോഗിൻ, പല പരിധികൾ
സാധൂകരണം ആരെ അനുവദിച്ചു എന്ന് ഉത്തരം നൽകുന്നു. റൂട്ട് ഏത് പാക്കറ്റുകൾക്ക് ടണലിലൂടെ പുറത്തുപോകാമെന്ന് ഉത്തരം നൽകുന്നു. അധികാരം ഏത് സേവനം ഫലമായുണ്ടാകുന്ന ബന്ധം സ്വീകരിക്കും എന്ന് ഉത്തരം നൽകുന്നു, മൂന്നിൽ ഒന്നും അടുത്തതിനെ അർത്ഥമാക്കുന്നില്ല.
ഹോസ്റ്റ് മുഴുവൻ ഉള്ള ടണൽ സാധാരണ സ്വതേയുള്ളതാണ്, അത് വിടവ് വ്യക്തമാക്കുന്നു. റൂട്ട് കേർണലിന്റെ പട്ടികയിലുണ്ട്, അതിനാൽ ആ പട്ടിക ഉപയോഗിക്കുന്ന ഏത് പ്രോസസ്സിനും സ്വകാര്യ നെറ്റ്വർക്കിൽ എത്താം, VPN ഡയലോഗ് ഒരിക്കലും കാണാത്ത ഉപയോക്താവ് തുടങ്ങിയ പ്രോസസ്സും ഉൾപ്പെടെ. ഇത് ടണലിലെ വീഴ്ചയല്ല; സിസ്റ്റം മുഴുവൻ ഉള്ള റൂട്ടിന്റെ അർത്ഥം ഇതാണ്. സ്വകാര്യ സേവനത്തിന് ഇപ്പോഴും ബന്ധം നിരസിക്കാം, അതുകൊണ്ട് എത്തിച്ചേരാനുള്ള കഴിവിനും അനുമതിക്കും വെവ്വേറെ ഉത്തരങ്ങൾ വേണം.
പരിശോധനയ്ക്ക് മുൻപ് നാല് ചോദ്യങ്ങൾ എഴുതിയാൽ അവയിലൊന്നിലേക്ക് അവലോകനം ചുരുങ്ങുന്നത് തടയാം.
അതിർത്തി യഥാർത്ഥത്തിൽ എവിടെയാണ്
നാല് ക്രമീകരണങ്ങൾ മിക്ക യന്ത്രങ്ങളെയും ഉൾക്കൊള്ളുന്നു: ഹോസ്റ്റ് മുഴുവൻ ഉള്ള ടണൽ, ഉപയോക്താവിന് ഒരു ബന്ധം, ആപ്പിന് അനുമതി പട്ടിക, വെവ്വേറെ നെറ്റ്വർക്ക് നാമസ്ഥലം അല്ലെങ്കിൽ വെർച്വൽ മെഷീൻ.
ഓരോന്നും നിർവഹണ പോയിന്റ് മറ്റൊരിടത്ത് വയ്ക്കുന്നു, ലേബലുകളെക്കാൾ വ്യത്യാസങ്ങൾ പ്രധാനമാണ്. ഉപയോക്താവിനുള്ള ബന്ധം പ്രൊഫൈലിന്റെ അനുമതികളാണ് നിർവഹിക്കുന്നത്, ഡെസ്ക്ടോപ്പ് ലോഗിൻ സ്ക്രീനല്ല. ആപ്പിനുള്ള അനുമതി പട്ടിക ക്ലയന്റിനുള്ളിൽ നിർവഹിക്കുന്നു, എന്ത് കൊണ്ടുപോകുമെന്ന് അതാണ് തീരുമാനിക്കുന്നത്. നാമസ്ഥലമോ VM-ഓ ഇന്റർഫേസ് അതിർത്തിയിൽ നിർവഹിക്കുന്നു, അതിനാൽ അകത്തുള്ള പ്രോസസ്സിന് ഹോസ്റ്റിന്റെ റൂട്ട് കാണാനേ കഴിയില്ല. യന്ത്രത്തിലെ ലോഗിൻ സ്ക്രീനുകളുടെ എണ്ണം അവയെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
പട്ടിക വരി വരിയായി വായിക്കുമ്പോൾ യഥാർത്ഥ ചോദ്യം വേർതിരിവുണ്ടോ എന്നല്ല, അത് എവിടെ നടപ്പാക്കുന്നു എന്നാണ്.
നാല് നിർവഹണ പോയിന്റുകൾ താരതമ്യം ചെയ്യുക
Linux-ൽ റൂട്ട് പട്ടികയാണ് ആദ്യം പരിശോധിക്കേണ്ടത്, കാരണം ഹോസ്റ്റ് മുഴുവൻ ഉള്ള ടണൽ അവിടെ കാണാം, നാമസ്ഥലം കാണുന്നില്ല. രണ്ടാം ഉപയോക്താവായി അന്വേഷണം പ്രവർത്തിപ്പിക്കുന്നതാണ് ആളുകൾ ഒഴിവാക്കുന്ന നടപടി; ഉത്തരം അവർ സ്വയം എന്ന നിലയിൽ കിട്ടിയതിൽനിന്ന് വ്യത്യസ്തമാണ്, അതാണ് റിപ്പോർട്ട് വിശദീകരിക്കുന്നത്.
അടുത്ത രണ്ട് പരിശോധനകൾ റൂട്ടിംഗിനെയല്ല, നയത്തെയാണ് നോക്കുന്നത്. UID-യുമായി പൊരുത്തപ്പെടുന്ന ഫയർവാൾ നിയമം പ്രാദേശികമായി സൃഷ്ടിക്കുന്ന ട്രാഫിക്കിന് ബാധകമാണ്, അതിനാൽ ഒരേ ഹോസ്റ്റിലെ രണ്ട് ഉപയോക്താക്കളെ രണ്ടും റൂട്ട് പങ്കിട്ടാലും വേർതിരിക്കാം. വ്യക്തമായ അനുമതി പട്ടികയുള്ള കണക്ഷൻ പ്രൊഫൈൽ സജീവമാക്കുമ്പോൾ നെറ്റ്വർക്ക് മാനേജർ നിർവഹിക്കുന്നു. പരിശോധനകളിൽ ഒന്നും ടണൽ മാറ്റേണ്ടതില്ല, അതുകൊണ്ട് എന്തെങ്കിലും പുനർരൂപകൽപ്പന ചെയ്യുന്നതിന് മുൻപ് അവ ചെയ്യുന്നത് ഉചിതമാണ്.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidരണ്ടാം അന്വേഷണം ടണലിന്റെ റൂട്ട് കാണിക്കുന്നുവെങ്കിൽ, അതിർത്തി രൂപകൽപ്പന കരുതിയിടത്തല്ല.
ഒരേസമയ സെഷൻ നിയമങ്ങൾ വെവ്വേറെ നിയന്ത്രണമാണ്
ഗേറ്റ്വേകൾ ഒരു അക്കൗണ്ടിന് എത്ര സെഷനുകൾ സൂക്ഷിക്കാം എന്ന് പലപ്പോഴും പരിമിതപ്പെടുത്തുന്നു, ആ പരിധിക്ക് പ്രാദേശിക ഉപയോക്താക്കളുമായി യാതൊരു ബന്ധവുമില്ല. അത് അക്കൗണ്ടിനെ പരിമിതപ്പെടുത്തുന്നു, അതിനാൽ അതേ ക്രെഡൻഷ്യലുകളുമായി സൈൻ ഇൻ ചെയ്യുന്ന രണ്ടാം വ്യക്തിക്ക് ആദ്യത്തെ വ്യക്തിയുടെ ടണൽ അവസാനിപ്പിക്കാം.
പ്രാദേശിക വേർതിരിവ് പ്രശ്നമെന്ന് കരുതുന്നതിന് മുൻപ് പരാജയം വായിക്കുക. സെഷൻ പരിധി ഗേറ്റ്വേയിൽ വിച്ഛേദം സൃഷ്ടിക്കുന്നു, പരിധി പ്രശ്നം പ്രവർത്തിക്കുന്ന പക്ഷേ മറ്റേ ഉപയോക്താവിന്റെ ട്രാഫിക് കൊണ്ടുപോകാത്ത ടണൽ സൃഷ്ടിക്കുന്നു. ഈ രണ്ട് ലക്ഷണങ്ങൾ തികച്ചും വ്യത്യസ്തമായ പരിഹാരങ്ങളിലേക്ക് നയിക്കുന്നു. ക്ലയന്റിന്റെ കൃത്യമായ സന്ദേശം സൂക്ഷിക്കുക, കാരണം അത് സാധാരണയായി നിയമത്തിന്റെ പേര് പറയുന്നു. പരിധി ഒഴിവാക്കുന്നതിന് പകരം പ്രൊഫൈൽ ഉടമയോട് അംഗീകൃത വർക്ക്ഫ്ലോ ആവശ്യപ്പെടുക.
വെർച്വൽ മെഷീൻ ആരെയും ആ നിയമത്തിൽനിന്ന് ഒഴിവാക്കുന്നില്ല, അത് സ്വന്തം നെറ്റ്വർക്ക്, ക്രെഡൻഷ്യൽ രൂപകൽപ്പന ചേർക്കുന്നു.
നിങ്ങൾക്ക് പ്രധാനമായ സന്ദർഭം പരിശോധിക്കുക
ഉദ്ദേശിച്ച ഉപയോക്താവിനെയും ആപ്പിനെയും പരിശോധിക്കുക, പിന്നെ നിരസിക്കേണ്ട സന്ദർഭം പരിശോധിക്കുക. യഥാർത്ഥ പാസ്വേഡ് പ്രവർത്തിക്കുന്നു എന്ന് മാത്രം തെളിയിക്കുന്ന അവലോകനം സാധൂകരണം പരിശോധിച്ചു, മറ്റൊന്നുമില്ല.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'ഓരോ ഫലത്തിനും അടുത്ത് നിർവഹണ പോയിന്റ് രേഖപ്പെടുത്തുക: റൂട്ട് പട്ടിക, UID നിയമം, പ്രൊഫൈൽ അനുമതി അല്ലെങ്കിൽ ഗേറ്റ്വേയുടെ സെഷൻ നയം. ആ രേഖ അടുത്ത മാറ്റം അവലോകനയോഗ്യമാക്കുന്നു. ആരെങ്കിലും രണ്ടാം ലോഗിൻ സ്ക്രീൻ ശ്രദ്ധിക്കുമ്പോഴെല്ലാം അതേ ചോദ്യം വീണ്ടും തുറക്കുന്നതും അത് തടയുന്നു. എത്തിച്ചേരാനുള്ള കഴിവ് അധികാരമല്ല, അവയിൽ ഒന്നും വേർതിരിവുമല്ല.