Хуваалцсан TAP VPN яагаад портал дээр HTTPS шаардсаар байна
TAP VPN нь хамтрагчийг баталгаажуулдаг, түүний ард байгаа үйлчилгээг биш. Портал дээр хост нэрийн баталгаажуулалтыг хадгалж, итгэдэггүй хөршүүдээ тусгаарлаарай.
Хоёр төхөөрөмж хүчинтэй VPN итгэмжлэлтэй бөгөөд нэг гүүрэн Ethernet сегментийг хуваалцдаг. Тэдний зөвхөн нэг нь оффисын порталын төлөө хариу өгөх ёстой бөгөөд нөгөө нь тухайн сегмент дээр порталын хаягыг шаардсаар байж болно. Туннель өөрийн ажлыг хийсэн: хоёр хамтрагчийг баталгаажуулж, сервер хүртэлх зам бүрийг шифрлэсэн. Хийгээгүй зүйл нь тэдний хэн нь үйлчилгээний нэр эзэмшиж байгааг гэрчлэх байсан бөгөөд энэ цоорхой нь портал хүчинтэй гэрчилгээ шаардсаар байгаа шалтгаан юм.
VPN бодитоор юуг баталгаажуулдаг вэ
VPN-ийн гар барилт нэг асуултад хариулдаг: аль хамтрагч энэ туннелийг ямар түлхүүрийн материалаар дуусгасан бэ. Тэр хариулт нь хамтрагч бүр, холболт бүрт хамаарах бөгөөд тухайн хамтрагч дараа нь үзүүлэх үйлчилгээний талаар юу ч хэлэхгүй. TAP сегмент дээр хамтрагч нь нэг хаяг ч биш, учир нь гүүр сурахад бэлэн ямар ч MAC, ямар ч IP-г танилцуулж чадна. Баталгаажуулалт туннелийн төгсгөл хэсэгт зогсдог, аппликейшнд биш.
Гурван асуултыг нэг болгон нэгтгэхийн оронд тусгаарлаарай. Тус бүр өөрийн механизм, өөрийн бүтэлгүйтлийн аргатай.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Байршуулалт нь төгс баталгаажсан туннель болон түүний ард бүрэн баталгаажаагүй үйлчилгээтэй байж болно. Мөн хоёр дахь түвшний хаягыг өөр хамтрагч шаардаж буй хост дээр баталгаажсан гэрчилгээ байж болох тул загварт нэг нь нөгөөг орлуулах биш, хоёр хяналт хоёулаа байх ёстой. Хүснэгт нь бүх маргааныг гурван мөрөнд багтаасан.
Хуваалцсан сегмент дээрх ARP бол лавлах биш
ARP нь IPv4 хаягыг локал холболт дээрх MAC-тай харгалзуулж, тухайн холболт дээрх хэний ч хариуг хүлээн авдаг. Зөвшөөрөхүйц гүүрэн сегмент дээр хамтрагч өөр төхөөрөмжид хамаарах хаягыг шаардаж болох бөгөөд гүүр кадруудыг хамгийн сүүлд хариулсан руу дамжуулдаг. Клиент бүрийн замыг сервер хүртэл шифрлэх нь үүнийг өөрчлөхгүй, учир нь кадрууд гүүрт хүрэхээс өмнө тайлагдана. ARP-ийн итгэлийн хил бол туннель биш, сегмент.
Хост бодитоор юу сурсныг хараарай: ip neigh show одоогийн харгалзуулалт ба тэдгээрийн төлөвийг жагсаадаг бөгөөд хэвийн ажиллагааны үед хоёр MAC хаягийн хооронд солигддог бичлэг нь үл тоомсорлох биш, шалгах үнэ цэнэтэй шинж юм. Эрүүл жижиг сегмент дээр ийм бичлэгүүд удаан хугацаанд тогтвортой байдаг.
Хамтрагчдыг тусгаарлах, гүүрийн бодлого яг энэ тохиолдолд зориулагдсан. Үйлчилгээ нь зөвхөн IP бөгөөд төхөөрөмжүүд бие биенийхээ кадрыг харах ямар ч шалтгаангүй үед чиглүүлэлтийн загвар нь ихэвчлэн илүү сайн хариулт юм.
Гэрчилгээний баталгаажуулалтыг үйлчилгээ байгаа газарт нь хадгалаарай
Аппликейшны TLS нь туннелийн хариулж чадахгүй асуултад хариулдаг: энэ нь миний хүрэхийг хүссэн үйлчилгээ мөн үү. Хөтөч хост нэрийг гэрчилгээтэй харьцуулж шалгадаг бөгөөд тэр шалгалт нь хамтрагчийг биш порталыг нэрлэдэг гинжин хэлхээний цорын ганц хэсэг юм.
Анхааруулга зөвхөн гадаад төрх гэж шийдэхээс өмнө сервер юу танилцуулж байгааг шалгаарай. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal гинжийг болон субьектийн өөр нэрсийг хэвлэдэг. Хэрэв таны бичсэн нэр тэр жагсаалтад байхгүй бол анхааруулга зөв бөгөөд засах зүйл нь гэрчилгээ юм. Хэрэглэгчдэд түүнийг алгасахыг заах нь ажиллаж буй хяналтыг чимэглэл болгоно.
OpenVPN гүүржүүлэх гарын авлага Ethernet загвар болон түүний эргэн тойрны бодлогын сонголтуудыг тайлбарладаг бөгөөд сегмент юуг зөвшөөрөх ёстой талаарх зөв эх сурвалж нь энэ юм. Гүүрийн дүрмийг суллахаас өмнө уншина уу, учир нь түүний тайлбарласан загвар нь дээрх шалгалт бүрийн урьдчилсан нөхцөл юм.
Тэдгээр хамтрагчид сегментийг хуваалцах ёстой эсэхийг шийдээрэй
Хамгийн хямд шийдэл нь шаардлага зөвхөн IP хүртээмж байх үед хоёр дахь түвшинг хуваалцахаа болих юм. Чиглүүлэлтийн VPN нь клиент бүрт өөрийн хаягыг өгч, хуваалцсан нэвтрүүлэх домайныг устгаж, хамтрагчдын хоорондын урсгалыг өгөгдмөл биш бодлогын шийдвэр болгоно. Тэгвэл порталд хамгаалах нэг хаяг байх бөгөөд түүнийг шаардаж чадах хөрш байхгүй.
Хэрэв сегмент үлдэх ёстой бол клиентүүд бие биедээ хүрэх боломж олгодог серверийн талын тохиргоог шалгаарай: grep -n client-to-client /etc/openvpn/server.conf. Энэ нь идэвхгүй үед клиентийн урсгал серверээр дамжиж, тэнд шүүгдэж болно. Идэвхтэй үед хамтрагчид кадруудыг гүүрээр шууд солилцож, таны шүүлтийн цэгүүд нь гүүр болон хостийн галт хана юм.
Хост бүр бодитоор ямар хамгаалалтад тулгуурладаг вэ гэдгийг бичээрэй: туннелийн баталгаажуулалт, сегментийн тусгаарлалт эсвэл аппликейшны TLS. Гурвуулаад нь тулгуурладаг хост зүгээр. Эхнийхэд нь тулгуурлаж, бусад хоёр нь түүнтэй хамт ирсэн гэж үздэг хост бол эцэст нь буруу агуулгыг үйлчилдэг хост юм.