Нийтийн Wi-Fi ба VPN: туннель юуг хамрахгүй вэ

Ногоон тэмдэг, сэтгэл хангалуун портал, ажиллаж буй хөтөч: энэ бол бүх харагдах түүх. Тэмдгийн орхидог зүйл нь шифрлэгдсэн холболтыг таныг түүнээс хамгаалах ёстой тэр л утасгүй холбоос зөөдөг явдал юм. Тэр холбоос пакет бүрийг хүргэсээр, очих хаягийг харсаар, ямар нэг зүйл ирэх эсэхийг шийдсээр байна. Зочид буудлын холболтын зөөврийн компьютерийн талыг харвал туннель аль хэсгийг хамрах, алийг нь танд үлдээхийг харуулна.

Хандалтын холбоос бүгдийг зөөнө

IPsec ESP туннель хамгаалагдсан дотоод пакетыг сүлжээ чиглүүлж чадах гадаад толгойд ороож, RFC 4303 3.1.2 хэсэг энэ хуваалтыг тайлбарладаг. Дотоод пакет бол туннелийн хамгаалдаг зүйл. Гадаад толгойг хотспот дамжуулахын тулд уншдаг. Бусад загвар өөрөөр капсулжуулдаг ч төлөвлөлтийн асуулт ижил: энэ холболтыг аль хандалтын зам зөөж байна вэ?

Гарцын доголдол эсвэл пакет унагадаг холбоос агуулгыг илчлэхгүйгээр хүргэлтийг зогсоодог. Илүү хүчтэй шифр рүү шилжих нь түүнд юу ч хийхгүй, учир нь дутуу хэсэг нь криптограф биш тээвэр юм. Амжилттай хүргэлт нөгөө чиглэлд ч мөн адил бага баталдаг, учир нь ажиллаж буй зам хоёр машины аль нэгнийх нь төлөвийн талаар юу ч хэлдэггүй.

Таны зөөврийн компьютер одоо ч өөрийн хаалгатай

Итгэмжлэхгүй сегментэд нэгдэх нь таны машин сонсож буй портуудад хэн хүрч болохыг өөрчилдөг. Файл хуваалцах үйлчилгээ, алсын удирдлагын агент эсвэл бүх интерфейст холбогдсон хөгжүүлэлтийн сервер тэр сегмент дэх хэн бүхэнд хүртээмжтэй, хэрэв ямар нэг зүйл түүнийг зогсоохгүй бол. Туннельд хэзээ ч ороогүй урсгал түүгээр хамгаалагдахгүй. Туннель босохоос өмнө хариу өгдөг сонсогч яг тэр цонхонд нээлттэй байна.

Шаардлага нарийн бөгөөд үүнийг яг таг хэлэх нь зүйтэй: зөөврийн компьютер VPN-ийн төгсгөлийн цэгт хүрэх ёстой, хотспотын хамааралгүй төхөөрөмжүүд локал үйлчилгээнд хүрэх ёсгүй. Хостын галт хананы дүрэм энэ хил хязгаарыг илэрхийлдэг, платформын өөрийн хуваалцах тохиргоо ч мөн түүний нэг хэсгийг илэрхийлдэг. Принтер эсвэл порталын алхам нь таны санаатайгаар нэмсэн хязгаарлагдмал үл хамаарах зүйл бөгөөд бүх хотспот оффисын LAN-ийн итгэлд үнэ цэнэтэй гэсэн нотолгоо биш.

Зарим байгууллага ажлын холболт идэвхтэй үед локал хандалтыг ч хязгаарладаг, энэ нь инженерчлэл биш бодлого юм. Захын төхөөрөмж ажиллахын тулд галт ханыг унтраахаас өмнө тэр бодлогыг уншаарай.

Юу үнэхээр сонсож байгааг шалгаарай

Тохиргооны хуудас биш, сокетуудыг хар, учир нь хуудас зорилгыг дүрсэлдэг, сокетын хүснэгт машиныг дүрсэлдэг. Доорх хоёр жагсаалт сонсож буй сокет бүрийг хөрш хүрч болох сокетуудаас тусгаарладаг. Туннелийг холбохоос өмнө тэдгээрийг итгэмжлэхгүй сегментэд ажиллуул.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Эхний команд сокет бүрийг харуулж, хоёр дахь нь loopback-аас гадна холбогдсоныг шүүнэ. 0.0.0.0 эсвэл :: дээрх үйлчилгээ утасгүйг оролцуулан интерфейс бүрд боломжтой, харин 127.0.0.1 дээрх ижил үйлчилгээ сегментээс огт хүрэхгүй. Шийдэгчийн асуулга туннель үүсэхээс өмнө нэр аль замаар явахыг баталгаажуулдаг бөгөөд яг тэнд олзлогдсон порталууд саад болдог. Холбосны дараа жагсаалтыг давтаарай, учир нь зарим клиент хариултыг өөрчилдөг интерфейс өргөдөг.

Зөвхөн туннель боссон үед гарч ирдэг порт бага нээлттэй, гэхдээ түүний тухай мэдэх нь зүйтэй хэвээр. Үнэмлэхүй жагсаалт биш ялгааг бичээрэй, учир нь туннелийн нэмсэн зүйл нь дельта юм.

Сессийн дунд шинэ таних тэмдгийг бүү хүлээн ав

Гэнэтийн замын өөрчлөлт, дахин холбогдолт эсвэл порталын дахин чиглүүлэлт нь өөр серверийн таних тэмдгийг хүлээн авах зөвшөөрөл биш. Клиент гэрчилгээ эсвэл түлхүүрийн зөрүүг мэдээлбэл, үүнийг тойрч гарах ёстой холболт биш, таних тэмдгийн илрүүлэлт гэж үзээрэй. Портал ажиллахын тулд тайлбаргүй үндсэн гэрчилгээ суулгах нь хүргэлтийн асуудлыг итгэлийн асуудал болгоно. Дараа нь итгэлийн асуудал түүнийг үүсгэсэн аяллаас урт насална.

Порталын өөрийн хөтчийн урсгалыг ашиглаж, дараа нь туннелийг дахин холбож, клиентийн бүртгэлээс түүний баталгаажуулсан таних тэмдгийг уншаарай. Таних тэмдгийн алдаа нь эсрэг тал таны хүлээж байсан хүн биш гэсэн үг, хүргэлтийн алдаа нь эсрэг тал хэзээ ч хариу өгөөгүй гэсэн үг. Эхнийх нь зогсоох шалтгаан, хоёр дахь нь өөр зам туршиж үзэх шалтгаан.

Эхлээд тасалдалтын зан төлөвийг шийд

Энд хоёр өөр функцийг андуурдаг. Дахин холбогдолт үйлчилгээг сэргээхийг оролддог бол блоклох бодлого нь туннель унасан үед ямар урсгал зөвшөөрөгдөхийг хянадаг. Аль нь ч ажиллаж буй утасгүй холбоосыг өгдөггүй, аль нь ч төгсгөлийн цэг цэвэр гэдгийг батлахгүй. Тодорхой сонго: локал замыг хэзээ ч ашиглах ёсгүй програмуудад хаалттай алдаа, хүлээн зөвшөөрвөл туннелийн гадна энгийн хөтлөлтийг зөвшөөр.

Сонголтоо бичээрэй, учир нь ихэнх клиентэд анхдагч нь аль нь ч биш бөгөөд хувилбараас хамаарч өөрчлөгддөг. Дараа нь хүртээмж чухал бол өөр хандалтын зам бэлтгэ, жишээ нь өөрийн өгөгдлийн багцтай утасны хотспот. Хүлээн авах боломжтой сорилд гурван тусдаа үр дүн бий: зориулсан урсгал баталгаажсан туннелийг ашигладаг, хамааралгүй локал сонсогчид хүрэхгүй, тасалдал таны сонгосон зан төлөвийг үүсгэдэг.