सार्वजनिक Wi-Fi आणि VPN: बोगदा काय व्यापत नाही

हिरवा बॅज, समाधानी पोर्टल, चालणारा ब्राउझर: हीच संपूर्ण दिसणारी गोष्ट। बॅज जे वगळतो ते म्हणजे एन्क्रिप्टेड कनेक्शन तुमचे त्यापासून संरक्षण करायला हवे त्या त्याच वायरलेस लिंकने वाहून नेले जाते। ती लिंक अजूनही प्रत्येक पॅकेट पोहोचवते, अजूनही गंतव्य पत्ता पाहते आणि काही पोहोचेल का हे अजूनही ठरवते। हॉटेल कनेक्शनची लॅपटॉप बाजू तपासल्यास बोगदा कोणते भाग व्यापतो आणि कोणते तुमच्यासाठी सोडतो हे दिसते।

प्रवेश लिंक सर्व काही वाहते

IPsec ESP बोगदा संरक्षित आंतरिक पॅकेटला नेटवर्क मार्गस्थ करू शकणाऱ्या बाह्य शीर्षकात गुंडाळतो, आणि RFC 4303 विभाग 3.1.2 हे विभाजन स्पष्ट करतो। आंतरिक पॅकेट म्हणजे बोगदा ज्याचे संरक्षण करतो ते। बाह्य शीर्षक हॉटस्पॉट पुढे पाठवण्यासाठी वाचतो। इतर रचना वेगळ्या पद्धतीने एन्कॅप्स्युलेट करतात, पण नियोजनाचा प्रश्न तोच आहे: हे कनेक्शन कोणता प्रवेश मार्ग वाहतो?

गेटवे बिघाड किंवा पॅकेट टाकून देणारी लिंक सामग्री उघड न करता वितरण थांबवते। अधिक मजबूत सिफरकडे जाण्याने त्यासाठी काहीच होत नाही, कारण गहाळ भाग क्रिप्टोग्राफी नाही, वाहतूक आहे। यशस्वी वितरण विरुद्ध दिशेनेही तेवढेच कमी सिद्ध करते, कारण चालणारा मार्ग दोनपैकी कोणत्याही मशीनच्या स्थितीबद्दल काहीच सांगत नाही।

तुमच्या लॅपटॉपला अजूनही स्वतःचे दरवाजे आहेत

अविश्वसनीय विभागात सामील होणे तुमचे मशीन ज्या पोर्टवर ऐकते तिथपर्यंत कोण पोहोचू शकते हे बदलते। फाइल शेअरिंग सेवा, दूरस्थ प्रशासन एजंट किंवा सर्व इंटरफेसना बांधलेला विकास सर्व्हर त्या विभागातील कोणालाही पोहोचण्यायोग्य असतो, जर काही त्याला थांबवत नसेल तर। बोगद्यात कधीही न जाणारा रहदारी त्याद्वारे संरक्षित नसतो। बोगदा वर येण्यापूर्वी उत्तर देणारा श्रोता नेमक्या त्याच खिडकीसाठी उघडा असतो।

आवश्यकता अरुंद आहे आणि ती नेमकी मांडण्यासारखी आहे: लॅपटॉपने VPN अंतिम टोकापर्यंत पोहोचले पाहिजे, आणि हॉटस्पॉटवरील असंबंधित उपकरणांनी स्थानिक सेवांपर्यंत पोहोचू नये। होस्ट फायरवॉल नियम ती सीमा व्यक्त करतात, आणि प्लॅटफॉर्मची स्वतःची शेअरिंग सेटिंग्जही त्याचा एक भाग व्यक्त करतात। प्रिंटर किंवा पोर्टलची पायरी हा तुम्ही जाणीवपूर्वक जोडलेला मर्यादित अपवाद आहे, संपूर्ण हॉटस्पॉट कार्यालयीन LAN च्या विश्वासास पात्र आहे याचा पुरावा नाही।

काही संस्था कामाचे कनेक्शन सक्रिय असताना स्थानिक प्रवेशही मर्यादित करतात, हे अभियांत्रिकी नाही तर धोरण आहे। परिधीय उपकरण चालवण्यासाठी फायरवॉल बंद करण्यापूर्वी ते धोरण वाचा।

प्रत्यक्षात काय ऐकत आहे ते तपासा

सेटिंग्ज पृष्ठ नाही, सॉकेट पहा, कारण पृष्ठ हेतू वर्णन करते आणि सॉकेट तक्ता मशीन वर्णन करतो। खालील दोन याद्या प्रत्येक ऐकणाऱ्या सॉकेटला शेजारी पोहोचू शकेल अशा सॉकेटपासून वेगळ्या करतात। बोगदा जोडण्यापूर्वी त्या अविश्वसनीय विभागात चालवा।

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

पहिला आदेश प्रत्येक सॉकेट दाखवतो, आणि दुसरा loopback च्या पलीकडे बांधलेल्यांवर गाळणी लावतो। 0.0.0.0 किंवा :: वरील सेवा वायरलेससह प्रत्येक इंटरफेसवर उपलब्ध आहे, तर 127.0.0.1 वरील तीच सेवा विभागातून अजिबात पोहोचण्यायोग्य नाही। रिझॉल्व्हरची चौकशी बोगदा अस्तित्वात येण्यापूर्वी नाव कोणता मार्ग घेते हे पुष्टी करते, आणि तिथेच कॅप्टिव्ह पोर्टल अडथळा आणतात। जोडल्यानंतर यादी पुन्हा चालवा, कारण काही क्लायंट उत्तर बदलणारे इंटरफेस उभे करतात।

बोगदा वर असतानाच दिसणारा पोर्ट कमी उघडा असतो, तरीही त्याबद्दल माहिती असणे योग्य आहे। पूर्ण यादी नाही, फरक नोंदवा, कारण बोगद्याने जोडलेला डेल्टा हाच आहे।

सत्राच्या मध्यात नवीन ओळख स्वीकारू नका

अनपेक्षित मार्ग बदल, पुन्हा जोडणी किंवा पोर्टल पुनर्निर्देशन हे वेगळी सर्व्हर ओळख स्वीकारण्याची परवानगी नाही। क्लायंटने प्रमाणपत्र किंवा की जुळत नसल्याचे नोंदवल्यास, ते टाळायचे कनेक्टिव्हिटी नाही तर ओळखीचा शोध माना। पोर्टल चालवण्यासाठी अस्पष्ट रूट प्रमाणपत्र स्थापित करणे वितरणाची समस्या विश्वासाच्या समस्येत बदलते। मग विश्वासाची समस्या ती निर्माण करणाऱ्या प्रवासापेक्षा जास्त काळ टिकते।

पोर्टलचा स्वतःचा ब्राउझर प्रवाह वापरा, नंतर बोगदा पुन्हा जोडा आणि क्लायंट लॉगमध्ये त्याने पडताळलेली ओळख वाचा। ओळख अपयश म्हणजे समोरचा अपेक्षित व्यक्ती नाही, तर वितरण अपयश म्हणजे समोरच्याने कधीही उत्तर दिले नाही। पहिले थांबण्याचे कारण आहे, आणि दुसरे दुसरा मार्ग अजमावण्याचे कारण आहे।

आधी खंड पडल्यावरचे वर्तन ठरवा

इथे दोन वेगळी वैशिष्ट्ये गोंधळली जातात। पुन्हा जोडणी सेवा पुनर्संचयित करण्याचा प्रयत्न करते, तर ब्लॉकिंग धोरण बोगदा खाली असताना कोणता रहदारी अनुमत आहे हे नियंत्रित करते। दोन्हीपैकी कोणीही चालणारी वायरलेस लिंक देत नाही, आणि कोणीही अंतिम टोक स्वच्छ आहे हे सिद्ध करत नाही। स्पष्ट निवडा: स्थानिक मार्ग कधीही वापरू नये अशा अनुप्रयोगांसाठी बंद अपयश, आणि स्वीकारार्ह असल्यास बोगद्याबाहेर सामान्य ब्राउझिंगला परवानगी द्या।

निवड लिहून ठेवा, कारण बहुतेक क्लायंटमधील डीफॉल्ट दोन्हीपैकी कोणतेही नाही, आणि ते आवृत्तीनुसार बदलते। नंतर उपलब्धता महत्त्वाची असल्यास पर्यायी प्रवेश मार्ग तयार करा, जसे स्वतःच्या डेटा योजनेसह फोन हॉटस्पॉट। स्वीकारार्ह स्वीकृती चाचणीला तीन वेगळे परिणाम असतात: इच्छित रहदारी पडताळलेला बोगदा वापरतो, असंबंधित स्थानिक श्रोते पोहोचू शकत नाहीत, आणि खंड तुम्ही निवडलेले वर्तन निर्माण करतो।