Offentleg Wi-Fi og VPN: det tunnelen ikkje dekkjer

Grønt merke, nøgd portal, fungerande nettlesar: det er heile den synlege historia. Det merket utelèt, er at den krypterte sambandet vert bore av nettopp den trådlause koplinga det skal verne deg mot. Den koplinga leverer framleis kvar pakke, ser framleis måladataressa og avgjer framleis om noko i det heile kjem fram. Å gå gjennom laptop-sida av eit hotellsamband viser kva delar tunnelen dekkjer, og kva han overlèt til deg.

Tilgangskoplinga ber alt

Ein IPsec ESP-tunnel pakkar ei verna indre pakke inn i eit ytre hovud som nettverket kan rute, og RFC 4303 avsnitt 3.1.2 forklarer den delinga. Den indre pakka er det tunnelen vernar. Det ytre hovudet er det hotspoten les for å vidaresende henne. Andre design kapslar inn annleis, men planleggingsspørsmålet er identisk: kva tilgangsveg ber dette sambandet?

Ein gateway-feil eller ei kopling som slepp pakkar stoppar levering utan å avdekkje innhald. Å byte til eit sterkare chiffer hjelper ikkje, fordi den manglande delen er transport, ikkje kryptografi. Vellukka levering provar like lite i den andre retninga, sidan ein fungerande veg ikkje seier noko om tilstanden til nokon av dei to maskinene.

Laptopen din har framleis sine eigne dører

Å kople seg til eit ikkje-klarert segment endrar kven som kan nå portane maskina di lyttar på. Ei fildelingsteneste, ein fjernadministrasjonsagent eller ein utviklingsserver bunden til alle grensesnitt er tilgjengeleg for alle i det segmentet med mindre noko stoppar han. Trafikk som aldri går inn i tunnelen, er ikkje verna av han. Ein lyttar som svarar før tunnelen er oppe, er eksponert nøyaktig i det vindauget.

Kravet er smalt og verdt å formulere presist: laptopen må nå VPN-endepunktet, og uvedkomande einingar på hotspoten må ikkje nå lokale tenester. Reglane til vertsbrannmuren uttrykkjer den grensa, og plattforma sine eigne delingsinnstillingar uttrykkjer òg ein del av henne. Ein skrivar eller eit portaltiltak er eit avgrensa unntak du legg til med vilje, ikkje prov på at heile hotspoten fortener tillit som kontor-LAN.

Nokre organisasjonar avgrensar òg lokal tilgang medan ein arbeidssamband er aktivt, og det er policy, ikkje ingeniørfag. Les den policyen før du deaktiverer ein brannmur for å få ei eining til å verke.

Kontroller kva som faktisk lyttar

Sjå på socketane og ikkje innstillingssida, fordi sida skildrar intensjonen og socket-tabellen skildrar maskina. Dei to listene nedanfor skil kvar lyttande socket frå dei ein nabo kunne nå. Køyr dei i det ikkje-klarerte segmentet før du koplar til tunnelen.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Den første kommandoen viser kvar socket, og den andre filtrerer til dei som er bundne utover loopback. Ei teneste på 0.0.0.0 eller :: er tilgjengeleg på kvart grensesnitt, inkludert det trådlause, medan den same tenesta på 127.0.0.1 ikkje kan nåast frå segmentet i det heile. Resolver-spørjinga stadfester kva veg namnet tek før tunnelen finst, og det er der captive-portalar forstyrrar. Gjenta lista etter tilkopling, fordi nokre klientar reiser grensesnitt som endrar svaret.

Ein port som berre visest medan tunnelen er oppe, er mindre eksponert, sjølv om det framleis er verdt å vite om han. Noter skilnaden og ikkje den absolutte lista, fordi deltaet er det tunnelen la til.

Ikkje godta ein ny identitet midt i økta

Ei uventa ruteendring, ei attilkopling eller ei portalvidaresending er ikkje løyve til å godta ein annan serveridentitet. Viss klienten rapporterer avvik i sertifikat eller nøkkel, skal du handsame det som eit identitetsfunn og ikkje som ei tilkopling som skal omgåast. Å installere eit uforklara rotsertifikat for å få ein portal til å verke gjer eit leveringsproblem til eit tillitsproblem. Tillitsproblemet overlever deretter reisa som skapte det.

Bruk den eigen nettlesarflyten til portalen, kople deretter til tunnelen på nytt og les klientloggen for identiteten han stadfesta. Identitetsfeil betyr at motparten ikkje er den du venta, medan leveringsfeil betyr at motparten aldri svara. Det første er grunn til å stoppe, og det andre er grunn til å prøve ein annan veg.

Avgjer åtferda ved avbrot først

Her vert to ulike funksjonar forveksla. Attilkopling freistar å gjenopprette tenesta, medan ein blokkeringspolicy styrer kva trafikk som er tillaten medan tunnelen er nede. Ingen av dei gir ei fungerande trådlaus kopling, og ingen av dei provar at endepunktet er reint. Vel eksplisitt: lukka feil for applikasjonar som aldri må bruke den lokale vegen, og tillat vanleg surfing utanfor tunnelen viss det er akseptabelt.

Skriv ned valet, fordi standarden i dei fleste klientar ikkje er nokon av dei, og han varierer etter versjon. Sørg deretter for ein alternativ tilgangsveg viss tilgjenge betyr noko, til dømes eit telefonhotspot med eigen dataplan. Ein akseptabel akseptansetest har tre separate utfall: tiltenkt trafikk brukar den stadfesta tunnelen, uvedkomande lokale lyttarar er utilgjengelege, og eit avbrot gir åtferda du valde.