Akaun VPN dikongsi: had peranti bukan pengasingan klien

Lapan sambungan serentak ialah nombor daripada halaman lesen, dan ia tidak menjelaskan apa-apa tentang apa yang boleh dilakukan oleh lapan peranti itu antara satu sama lain. Satu log masuk dikongsi boleh wujud bersama kunci setiap sesi, dan ia juga boleh wujud bersama get laluan yang dengan senang hati menghantar trafik satu klien kepada yang lain. Kesilapannya ialah menganggap akaun sebagai sempadan keselamatan. Sebaliknya tanyakan empat soalan berasingan: apa yang dibeli, apa yang melindungi terowong, apa yang boleh melintas antara rakan, dan apa yang boleh menjatuhkan pautan setempat.

Apa yang sebenarnya dijanjikan oleh kebenaran sambungan

Had peranti mengira berapa banyak sesi yang akan diterima oleh pembekal bagi satu langganan. Ia kawalan komersial dan operasi, bukan pernyataan tentang identiti atau pengasingan. Sesetengah pembekal mengeluarkan sijil berasingan bagi setiap peranti di bawah satu akaun; yang lain menggunakan semula satu kelayakan pada setiap sambungan. Perbezaannya muncul semasa pembatalan, kerana kelayakan berasingan membolehkan anda memotong satu peranti, manakala yang dikongsi tidak meninggalkan pilihan itu.

Baca bagaimana pembekal mengeluarkan kelayakan sebelum menganggap apa-apa tentang pemisahan kunci. Nama akaun itu sendiri tidak mendedahkan apa-apa tentangnya.

Periksa sama ada get laluan menghantar antara klien

Kebolehhantaran antara rakan ialah keputusan di sebelah pelayan. Pada OpenVPN suis berkenaan tiada melainkan ia muncul dalam konfigurasi, tetapi pemunggahan satah data moden mengubah tempat peraturan itu dikuatkuasakan.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfigurasi tanpa arahan itu menyerahkan trafik antara rakan kepada tembok api hos, yang mungkin masih membenarkannya. Apabila pemunggahan aktif, antara muka terowong dikendalikan oleh kernel dan bukan proses ruang pengguna, jadi sahkan pembilang peraturan dan bukannya mempercayai fail. Menyekat trafik yang dihantar antara alamat terowong mengasingkan klien tanpa menyentuh akses mereka ke get laluan. Sahkannya dengan ujian daripada satu klien ke perkhidmatan pada yang lain, sebelum dan selepas peraturan.

Lindungi sesi sebelum rakan

Perlindungan terowong dan akses rakan ialah sifat berbeza, dan penyulitan kuat tidak bermaksud pengasingan. Dalam mod TLS setiap klien memperoleh kunci sesinya sendiri, jadi satu klien tidak boleh membaca trafik klien lain walaupun get laluan menghantarnya. Susunan kunci statik lama berkongsi satu kunci antara semua, sebab itulah penggunaan semula log masuk di situ jauh lebih teruk akibatnya. Periksa mod yang dikonfigurasikan dan bukan halaman pemasaran, kemudian nilai sama ada perkongsian akaun sesuai dengan data berkenaan.

Pengesahan perkhidmatan pada setiap hos masih penting, kerana terowong hanya membuktikan bahawa klien telah sampai ke rangkaian, bukan bahawa ia harus sampai ke daemon tertentu.

Kegagalan Wi-Fi setempat bukan pelanggaran VPN

Sambungan yang terputus membuktikan pautan setempat gagal, bukan bahawa seseorang telah memecahkan terowong. Gangguan, pajakan DHCP yang hilang dan pemindahan perayauan semuanya menamatkan sesi tanpa menyentuh kelayakan atau teks disulitkan. Anggap pemutusan sebagai penemuan ketersediaan dan asingkannya daripada penemuan kerahsiaan dan akses rakan. Di tempat rangkaian setempat tidak dipercayai, lindungi trafik dari hujung ke hujung dan bukan hanya bergantung pada terowong.

Tuliskan empat jawapan: kebenaran, model kunci, dasar rakan dan kebergantungan pada pautan setempat. Rekod itu menukar kebimbangan kabur tentang akaun dikongsi kepada kawalan yang khusus.