Għaliex VPN TAP kondiviż għadu jeħtieġ HTTPS fuq il-portal
VPN TAP jawtentika lill-pari, mhux is-servizz warajh. Żomm il-validazzjoni tal-isem tal-host fuq il-portal u iżola l-ġirien li ma tafdax.
Żewġ apparati għandhom kredenzjali VPN validi u jaqsmu segment Ethernet wieħed bil-pont. Wieħed biss minnhom għandu jwieġeb għall-portal tal-uffiċċju, u l-ieħor għadu jista' jitlob l-indirizz tal-portal fuq dak is-segment. Il-mina għamlet xogħolha: awtentikat iż-żewġ pari u kriptat kull triq lejn is-server. Ma għamlitx li tiċċertifika liema minnhom għandu isem ta' servizz, u dik il-lakuna hija r-raġuni għaliex il-portal għadu jeħtieġ ċertifikat validu.
X'jawtentika tassew il-VPN
Il-ħsieb tal-VPN iwieġeb għal mistoqsija waħda: liema pari temm din il-mina, u b'liema materjal taċ-ċavetta. Dik it-tweġiba hija għal kull pari u għal kull konnessjoni, u ma tgħid xejn dwar is-servizzi li dak il-pari jesponi wara. Fuq segment TAP il-pari mhuwiex lanqas indirizz wieħed, għax jista' jippreżenta kwalunkwe MAC u kwalunkwe IP li l-pont huwa lest jitgħallem. L-awtentikazzjoni tieqaf fit-tarf tal-mina, mhux fl-applikazzjoni.
Issepara t-tliet mistoqsijiet minflok tgħaqqadhom f'waħda. Kull waħda għandha l-mekkaniżmu tagħha u l-mod kif tfalli tagħha.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Skjerament jista' jkollu mina awtentikata perfettament u servizz kompletament mhux awtentikat warajha. Jista' wkoll jkollu ċertifikat ivvalidat fuq host li l-indirizz tat-tieni saff tiegħu qed jintalab minn pari ieħor, u għalhekk iż-żewġ kontrolli jappartjenu lid-disinn u mhux wieħed jieħu post l-ieħor. It-tabella hija l-argument kollu fi tliet ringieli.
ARP fuq segment kondiviż mhuwiex direttorju
ARP jimmappa indirizz IPv4 għal MAC fuq il-link lokali u jaċċetta tweġibiet minn kulħadd fuq dak il-link. Fuq segment bil-pont permissiv pari jista' jitlob indirizz li jappartjeni lil apparat ieħor, u l-pont jgħaddi l-oqfsa lil dak li wieġeb l-aħħar. Il-kriptaġġ ta' kull triq tal-klijent lejn is-server ma jbiddilx dan, għax l-oqfsa jiġu dekriptati qabel ma jaslu għall-pont. Il-fruntiera tal-fiduċja tal-ARP hija s-segment, mhux il-mina.
Ħares lejn dak li verament tgħallem il-host: ip neigh show jelenka l-mappings attwali u l-istat tagħhom, u d-dħul li jinbidel bejn żewġ indirizzi MAC waqt operazzjoni normali huwa sintomu li jistħoqqlu investigazzjoni minflok ma jiġi injorat. Fuq segment żgħir b'saħħtu dawk id-dħul jibqgħu stabbli għal żmien twil.
L-iżolament tal-pari u l-politika tal-pont jeżistu eżattament għal dan il-każ. Disinn bir-routing normalment huwa t-tweġiba aħjar meta s-servizz huwa biss IP u l-apparati m'għandhom l-ebda raġuni biex jaraw l-oqfsa ta' xulxin.
Żomm il-validazzjoni taċ-ċertifikat fejn jinsab is-servizz
It-TLS tal-applikazzjoni jwieġeb il-mistoqsija li l-mina ma tistax: dan huwa s-servizz li ridt nilħaq. Il-browser jiċċekkja l-isem tal-host maċ-ċertifikat, u dak iċ-ċekk huwa l-unika parti tal-katina li ssemmi l-portal u mhux il-pari.
Eżamina dak li jippreżenta s-server qabel ma tiddeċiedi li t-twissija hija sempliċi dehra. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal jipprintja l-katina u l-ismijiet alternattivi tas-suġġett. Jekk l-isem li ttestjajt mhuwiex f'dik il-lista, it-twissija hija korretta u ċ-ċertifikat huwa dak li jeħtieġ tiswija. Li tgħallem lill-utenti jaqbżuha jibdel kontroll li jaħdem f'dekorazzjoni.
Gwida tal-pont OpenVPN tiddeskrivi l-mudell Ethernet u l-għażliet tal-politika madwaru, u hija r-referenza t-tajba għal dak li s-segment għandu jippermetti. Aqrah qabel ma ttaffi regola tal-pont, għax il-mudell li jiddeskrivi huwa dak li tassumi kull verifika hawn fuq.
Iddeċiedi jekk dawk il-pari għandhomx jaqsmu segment xejn
L-ifjen tiswija hija normalment li tieqaf taqsam it-tieni saff meta r-rekwiżit huwa biss aċċessibilità IP. VPN bir-routing jagħti lil kull klijent l-indirizz tiegħu stess, ineħħi d-dominju tax-xandir kondiviż u jibdel it-traffiku bejn il-pari fi deċiżjoni ta' politika minflok default. Imbagħad il-portal ikollu indirizz wieħed x'jipproteġi u l-ebda ġar li jista' jitolbu.
Jekk is-segment irid jibqa', iċċekkja s-setting fuq in-naħa tas-server li tħalli lill-klijenti jilħqu lil xulxin: grep -n client-to-client /etc/openvpn/server.conf. Meta tkun diżattivata, it-traffiku tal-klijenti jgħaddi mis-server u jista' jiġi ffiltrat hemmhekk. Meta tkun attivata, il-pari jiskambjaw oqfsa direttament mill-pont, u l-punti tal-filtraġġ tiegħek huma l-pont u l-firewall tal-host.
Ikteb liema protezzjonijiet kull host verament jiddependi fuqhom: awtentikazzjoni tal-mina, iżolament tas-segment jew TLS tal-applikazzjoni. Host li jiddependi fuq it-tlieta huwa tajjeb. Host li jiddependi fuq l-ewwel u jassumi li t-tnejn l-oħra ġew miegħu huwa dak li fl-aħħar jaqdi l-kontenut ħażin.