Wi-Fi pubbliku u VPN: x'ma jkoprix il-mina

Badge aħdar, portal sodisfatt, browser jaħdem: dik hija l-istorja viżibbli kollha. Li l-badge tħalli barra huwa li l-konnessjoni kriptata tinġarr mill-ħolqa bla wajer stess li suppost tipproteġik minnha. Dik il-ħolqa għadha twassal kull pakkett, għadha tara l-indirizz tad-destinazzjoni u għadha tiddeċiedi jekk xi ħaġa tasal xejn. L-eżami tal-ġenb tal-kompjuter laptop ta' konnessjoni ta' lukanda juri liema partijiet il-mina tkopri u liema tħallilek.

Il-ħolqa tal-aċċess iġġorr kollox

Mina IPsec ESP tgeżwer pakkett intern protett f'intestatura esterna li n-netwerk jista' jirrotta, u RFC 4303 taqsima 3.1.2 tispjega dik il-qasma. Il-pakkett intern huwa dak li l-mina tipproteġi. L-intestatura esterna hija dak li l-hotspot jaqra biex jgħaddih 'il quddiem. Disinji oħra jinkapsulaw b'mod differenti, iżda l-mistoqsija tal-ippjanar hija l-istess: liema triq tal-aċċess iġġorr din il-konnessjoni?

Ħsara fil-gateway jew ħolqa li taqa' pakketti twaqqaf il-kunsinna mingħajr ma tikxef il-kontenut. Li tmur għal cipher aktar b'saħħtu ma jagħmel xejn għal dan, għax il-biċċa nieqsa hija t-trasport, mhux il-kriptografija. Kunsinna b'suċċess tipprova daqstant ftit fid-direzzjoni l-oħra, għax triq li taħdem ma tgħid xejn dwar il-qagħda ta' lanqas waħda miż-żewġ magni.

Il-laptop tiegħek għad għandu l-bibien tiegħu stess

Li tissieħeb f'segment mhux affidabbli jbiddel min jista' jasal għall-portijiet li l-magna tiegħek tisma' fuqhom. Servizz ta' qsim ta' fajls, aġent ta' amministrazzjoni mill-bogħod jew server tal-iżvilupp marbut ma' kull interface jista' jintlaħaq minn kulħadd f'dak is-segment sakemm xi ħaġa ma twaqqafx. Traffiku li qatt ma jidħol fil-mina ma huwiex protett minnha. Semmiegħ li jwieġeb qabel ma titla' l-mina huwa espost għal dawk il-ftit ħin biss.

Ir-rekwiżit huwa dejjaq u jistħoqqlu jiġi espress b'mod preċiż: il-laptop irid jasal għall-punt tat-tarf tal-VPN, u apparati mhux relatati fuq il-hotspot m'għandhomx jasal għal servizzi lokali. Ir-regoli tal-firewall tal-host jesprimu dik il-fruntiera, u l-issettjar tal-qsim tal-pjattaforma nnifisha jesprimi wkoll parti minnha. Printer jew pass tal-portal huwa eċċezzjoni limitata li żżid b'mod deliberat, mhux prova li l-hotspot kollu jistħoqqlu l-fiduċja ta' LAN tal-uffiċċju.

Xi organizzazzjonijiet jirrestrinġu wkoll l-aċċess lokali waqt li konnessjoni tax-xogħol tkun attiva, u din hija politika mhux inġinerija. Aqra dik il-politika qabel ma titfi firewall biex jaħdem apparat periferali.

Iċċekkja x'inhu tassew jisma'

Ħares lejn is-sockets u mhux lejn il-paġna tas-settings, għax il-paġna tiddeskrivi l-intenzjoni u t-tabella tas-sockets tiddeskrivi l-magna. Iż-żewġ listi hawn taħt jifirdu kull socket li jisma' minn dawk li ġar jista' jasal għalihom. Mexxihom fis-segment mhux affidabbli qabel ma tqabbad il-mina.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

L-ewwel kmand juri kull socket, u t-tieni jiffiltra għal dawk marbuta lil hinn mil-loopback. Servizz fuq 0.0.0.0 jew :: huwa disponibbli fuq kull interface, inkluż dak bla wajer, filwaqt li l-istess servizz fuq 127.0.0.1 ma jintlaħaqx affattu mis-segment. Il-mistoqsija tar-resolver tikkonferma liema triq jieħu l-isem qabel ma teżisti l-mina, u hemmhekk jindaħlu l-portali maqbuda. Erġa' agħmel il-lista wara li tqabbad, għax xi klijenti jtellgħu interfaces li jbiddlu t-tweġiba.

Port li jidher biss waqt li l-mina tkun tellgħet inqas espost, għalkemm xorta jistħoqqlu jkun magħruf. Irreġistra d-differenza u mhux il-lista assoluta, għax id-delta hija dak li żiedet il-mina.

Taċċettax identità ġdida f'nofs is-sessjoni

Bidla fit-triq mhux mistennija, qabla mill-ġdid jew ridirezzjoni tal-portal mhumiex permess li taċċetta identità differenti tas-server. Jekk il-klijent jirrapporta nuqqas ta' qbil fiċ-ċertifikat jew fil-muftieħ, ittrattah bħala sejba tal-identità u mhux bħala konnettività li għandha tiġi evitata. L-installazzjoni ta' ċertifikat tal-għerq mhux spjegat biex jaħdem portal tibdel problema tal-kunsinna fi problema tal-fiduċja. Imbagħad il-problema tal-fiduċja tgħix aktar mill-vjaġġ li ħolqot.

Uża l-fluss tal-browser tal-portal stess, imbagħad erġa' qabbad il-mina u aqra l-log tal-klijent għall-identità li vverifika. Falliment tal-identità jfisser li l-parti l-oħra mhijiex min kont qed tistenna, filwaqt li falliment tal-kunsinna jfisser li l-parti l-oħra qatt ma wieġbet. L-ewwel hija raġuni biex tieqaf, u t-tieni hija raġuni biex tipprova triq oħra.

Iddeċiedi l-imġieba waqt qtugħ l-ewwel

Hawnhekk jiġu konfużi żewġ karatteristiċi differenti. Qabla mill-ġdid tipprova treġġa' s-servizz, filwaqt li politika ta' blokkjar tikkontrolla liema traffiku huwa permess waqt li l-mina tkun waqgħet. Lanqas waħda ma tipprovdi ħolqa bla wajer li taħdem, u lanqas waħda ma tipprova li l-punt tat-tarf huwa nadif. Agħżel b'mod espliċitu: falliment magħluq għal applikazzjonijiet li qatt m'għandhom jużaw it-triq lokali, u ħalli l-ibbrawżjar ordinarju barra l-mina jekk dan huwa aċċettabbli.

Ikteb l-għażla, għax il-valur awtomatiku f'ħafna klijenti mhuwiex waħda minnhom, u jvarja skont il-verżjoni. Imbagħad arranġa triq tal-aċċess alternattiva jekk id-disponibbiltà hija importanti, bħal hotspot tat-telefon bil-pjan tad-data tiegħu stess. Test tal-aċċettazzjoni aċċettabbli għandu tliet eżiti separati: it-traffiku maħsub juża l-mina vverifikata, is-semmiegħa lokali mhux relatati mhumiex aċċessibbli, u qtugħ jipproduċi l-imġieba li għażilt.