Satu Log Masuk VPN pada PC Dikongsi: Siapa Lagi Dapat Laluan?

Berkongsi stesen kerja menimbulkan soalan yang tidak pernah perlu dijawab oleh komputer riba pengguna tunggal: selepas seorang mengesahkan terowong, siapa lagi boleh menggunakannya? Log masuk mengenal pasti subjek, dan laluan yang dipasangnya menerangkan skop, dan kedua-duanya bukan objek yang sama. Antara keduanya terletak sistem pengendalian, konfigurasi klien dan apa yang dituntut oleh perkhidmatan persendirian itu sendiri. Membandingkan titik penguatkuasaan ialah satu-satunya cara menjawab soalan itu tanpa meneka.

Satu Log Masuk, Beberapa Skop

Pengesahan menjawab siapa yang diterima masuk. Laluan menjawab paket mana yang boleh keluar melalui terowong. Kebenaran menjawab perkhidmatan mana yang akan menerima sambungan yang terhasil, dan tiada satu pun daripada ketiganya mengandaikan yang seterusnya.

Terowong seluruh hos ialah lalai biasa, dan ia menjadikan jurang itu jelas. Laluan berada dalam jadual kernel, jadi setiap proses yang menggunakan jadual itu boleh mencapai rangkaian persendirian, termasuk proses yang dimulakan oleh pengguna yang tidak pernah melihat dialog VPN. Itu bukan kecacatan pada terowong; itulah maksud laluan seluruh sistem. Perkhidmatan persendirian masih boleh menolak sambungan, sebab itu ketercapaian dan kebenaran memerlukan jawapan berasingan.

Menulis keempat-empat soalan sebelum ujian menghalang semakan daripada runtuh menjadi salah satunya.

Di Mana Sempadan Sebenarnya

Empat susunan meliputi kebanyakan mesin: terowong seluruh hos, sambungan setiap pengguna, senarai benaran setiap aplikasi dan ruang nama rangkaian atau mesin maya yang berasingan.

Setiap satu meletakkan titik penguatkuasaan di tempat berbeza, dan perbezaan lebih penting daripada label. Sambungan setiap pengguna dikuatkuasakan oleh kebenaran profil, bukan oleh skrin log masuk desktop. Senarai benaran setiap aplikasi dikuatkuasakan dalam klien, yang menentukan apa yang akan dibawanya. Ruang nama atau VM menguatkuasakan di sempadan antara muka, jadi proses di dalamnya tidak dapat melihat laluan hos sama sekali. Bilangan skrin log masuk pada mesin tidak mengatakan apa-apa tentang mana-mana daripadanya.

Membaca jadual baris demi baris menunjukkan soalan sebenar bukanlah sama ada pengasingan wujud, tetapi di mana ia dilaksanakan.

Bandingkan Empat Titik Penguatkuasaan

Pada Linux jadual laluan ialah perkara pertama yang perlu diperiksa, kerana terowong seluruh hos muncul di situ dan ruang nama tidak. Menjalankan carian sebagai pengguna kedua ialah langkah yang orang lain tinggalkan; jawapannya berbeza daripada yang mereka dapat sebagai diri sendiri, dan itu menjelaskan laporan itu.

Dua semakan seterusnya melihat dasar, bukan penghalaan. Peraturan tembok api yang sepadan dengan UID terpakai pada trafik yang dijana secara tempatan, jadi ia boleh memisahkan dua pengguna pada satu hos walaupun kedua-duanya berkongsi laluan. Profil sambungan dengan senarai kebenaran eksplisit dikuatkuasakan oleh pengurus rangkaian semasa pengaktifan. Kedua-dua semakan tidak memerlukan terowong diubah, sebab itu ia berbaloi dilakukan sebelum apa-apa direka semula.

ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuid

Jika carian kedua menunjukkan laluan terowong, sempadan bukan di tempat yang diandaikan oleh reka bentuk.

Peraturan Sesi Serentak Ialah Kawalan Berasingan

Gerbang sering mengehadkan berapa banyak sesi yang boleh dipegang oleh satu akaun, dan had itu tiada kaitan dengan pengguna tempatan. Ia mengehadkan akaun, jadi orang kedua yang log masuk dengan kelayakan yang sama boleh menamatkan terowong orang pertama.

Baca kegagalan itu sebelum menganggap masalah pengasingan tempatan. Had sesi menghasilkan pemutusan di gerbang, manakala masalah skop menghasilkan terowong yang berfungsi tetapi tidak membawa trafik pengguna lain. Dua gejala itu membawa kepada pembetulan yang sangat berbeza. Simpan mesej klien yang tepat, kerana ia biasanya menamakan peraturan itu. Minta pemilik profil aliran kerja yang diluluskan daripada memintas had itu.

Mesin maya tidak mengecualikan sesiapa daripada peraturan itu dan ia menambah reka bentuk rangkaian dan kelayakannya sendiri.

Uji Konteks yang Anda Pentingkan

Uji pengguna dan aplikasi yang dimaksudkan, kemudian uji konteks yang sepatutnya ditolak. Semakan yang hanya membuktikan kata laluan asal berfungsi telah menguji pengesahan dan bukan yang lain.

sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'

Catat titik penguatkuasaan di samping setiap hasil: jadual laluan, peraturan UID, kebenaran profil atau dasar sesi gerbang. Rekod itu menjadikan perubahan seterusnya boleh disemak. Ia juga menghalang soalan yang sama dibuka semula setiap kali seseorang menyedari skrin log masuk kedua. Ketercapaian bukan kebenaran, dan tiada satu pun daripada keduanya ialah pengasingan.