ਸਾਂਝੇ ਪੀਸੀ 'ਤੇ ਇੱਕ VPN ਲੌਗਇਨ: ਰੂਟ ਹੋਰ ਕੌਣ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ?
VPN ਲੌਗਇਨ ਇੱਕ ਵਿਅਕਤੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦਾ ਹੈ; ਇਹ ਜੋ ਰੂਟ ਸਥਾਪਿਤ ਕਰਦਾ ਹੈ ਉਹ ਵੱਖਰਾ ਦਾਇਰਾ ਹੈ। ਸਾਂਝੀ ਮਸ਼ੀਨ 'ਤੇ ਹੋਸਟ-ਵਿਆਪੀ, ਪ੍ਰਤੀ-ਵਰਤੋਂਕਾਰ ਅਤੇ ਪ੍ਰਤੀ-ਐਪ ਟਨਲ ਦੀ ਤੁਲਨਾ ਕਰੋ।
ਵਰਕਸਟੇਸ਼ਨ ਸਾਂਝਾ ਕਰਨਾ ਇੱਕ ਅਜਿਹਾ ਸਵਾਲ ਉਠਾਉਂਦਾ ਹੈ ਜਿਸਦਾ ਜਵਾਬ ਇੱਕ-ਵਰਤੋਂਕਾਰ ਲੈਪਟਾਪ ਨੂੰ ਕਦੇ ਦੇਣਾ ਨਹੀਂ ਪੈਂਦਾ: ਇੱਕ ਵਿਅਕਤੀ ਵੱਲੋਂ ਟਨਲ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ ਹੋਰ ਕੌਣ ਇਸਨੂੰ ਵਰਤ ਸਕਦਾ ਹੈ? ਲੌਗਇਨ ਇੱਕ ਵਿਸ਼ੇ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਥਾਪਿਤ ਹੋਣ ਵਾਲਾ ਰੂਟ ਇੱਕ ਦਾਇਰੇ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਦੋਵੇਂ ਇੱਕੋ ਵਸਤੂ ਨਹੀਂ ਹਨ। ਇਹਨਾਂ ਵਿਚਕਾਰ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ, ਕਲਾਇੰਟ ਦੀ ਸੰਰਚਨਾ ਅਤੇ ਉਹ ਹੁੰਦਾ ਹੈ ਜੋ ਨਿੱਜੀ ਸੇਵਾ ਖੁਦ ਮੰਗਦੀ ਹੈ। ਅਨੁਮਾਨ ਲਗਾਏ ਬਿਨਾਂ ਜਵਾਬ ਦੇਣ ਦਾ ਇੱਕੋ ਤਰੀਕਾ ਲਾਗੂ ਕਰਨ ਵਾਲੇ ਬਿੰਦੂਆਂ ਦੀ ਤੁਲਨਾ ਕਰਨਾ ਹੈ।
ਇੱਕ ਲੌਗਇਨ, ਕਈ ਦਾਇਰੇ
ਪ੍ਰਮਾਣਿਕਤਾ ਦੱਸਦੀ ਹੈ ਕਿਸਨੂੰ ਅੰਦਰ ਆਉਣ ਦਿੱਤਾ ਗਿਆ। ਰੂਟ ਦੱਸਦਾ ਹੈ ਕਿਹੜੇ ਪੈਕੇਟ ਟਨਲ ਵਿੱਚੋਂ ਬਾਹਰ ਜਾ ਸਕਦੇ ਹਨ। ਅਧਿਕਾਰ ਦੱਸਦਾ ਹੈ ਕਿਹੜੀ ਸੇਵਾ ਨਤੀਜੇ ਵਜੋਂ ਬਣਿਆ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰੇਗੀ, ਅਤੇ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਅਗਲੇ ਨੂੰ ਜ਼ਰੂਰੀ ਨਹੀਂ ਕਰਦਾ।
ਹੋਸਟ-ਵਿਆਪੀ ਟਨਲ ਆਮ ਡਿਫਾਲਟ ਹੈ, ਅਤੇ ਇਹ ਖਾਲੀ ਥਾਂ ਨੂੰ ਸਪਸ਼ਟ ਕਰਦਾ ਹੈ। ਰੂਟ ਕਰਨਲ ਦੀ ਸਾਰਣੀ ਵਿੱਚ ਬੈਠਦਾ ਹੈ, ਇਸ ਲਈ ਉਹ ਸਾਰਣੀ ਵਰਤਣ ਵਾਲੀ ਹਰ ਪ੍ਰਕਿਰਿਆ ਨਿੱਜੀ ਨੈੱਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਸਕਦੀ ਹੈ, ਉਹ ਵੀ ਜੋ VPN ਸੰਵਾਦ ਕਦੇ ਨਾ ਵੇਖਣ ਵਾਲੇ ਵਰਤੋਂਕਾਰ ਨੇ ਸ਼ੁਰੂ ਕੀਤੀ ਹੋਵੇ। ਇਹ ਟਨਲ ਦਾ ਨੁਕਸ ਨਹੀਂ ਹੈ; ਸਿਸਟਮ-ਵਿਆਪੀ ਰੂਟ ਦਾ ਅਰਥ ਇਹੀ ਹੈ। ਨਿੱਜੀ ਸੇਵਾ ਫਿਰ ਵੀ ਕਨੈਕਸ਼ਨ ਨਕਾਰ ਸਕਦੀ ਹੈ, ਇਸ ਲਈ ਪਹੁੰਚ ਅਤੇ ਇਜਾਜ਼ਤ ਨੂੰ ਵੱਖਰੇ ਜਵਾਬ ਚਾਹੀਦੇ ਹਨ।
ਟੈਸਟ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਸਵਾਲ ਲਿਖ ਲੈਣ ਨਾਲ ਸਮੀਖਿਆ ਉਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਇੱਕ ਵਿੱਚ ਸਿਮਟਣ ਤੋਂ ਬਚਦੀ ਹੈ।
ਸੀਮਾ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਹੈ
ਚਾਰ ਪ੍ਰਬੰਧ ਜ਼ਿਆਦਾਤਰ ਮਸ਼ੀਨਾਂ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਨ: ਹੋਸਟ-ਵਿਆਪੀ ਟਨਲ, ਪ੍ਰਤੀ-ਵਰਤੋਂਕਾਰ ਕਨੈਕਸ਼ਨ, ਪ੍ਰਤੀ-ਐਪਲੀਕੇਸ਼ਨ ਇਜਾਜ਼ਤ ਸੂਚੀ ਅਤੇ ਵੱਖਰਾ ਨੈੱਟਵਰਕ ਨਾਮ-ਸਥਾਨ ਜਾਂ ਵਰਚੁਅਲ ਮਸ਼ੀਨ।
ਹਰੇਕ ਲਾਗੂ ਕਰਨ ਵਾਲੇ ਬਿੰਦੂ ਨੂੰ ਕਿਤੇ ਹੋਰ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਲੇਬਲਾਂ ਨਾਲੋਂ ਫ਼ਰਕ ਵਧੇਰੇ ਮਹੱਤਵਪੂਰਨ ਹਨ। ਪ੍ਰਤੀ-ਵਰਤੋਂਕਾਰ ਕਨੈਕਸ਼ਨ ਪ੍ਰੋਫਾਈਲ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਨਾਲ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਡੈਸਕਟਾਪ ਲੌਗਇਨ ਸਕ੍ਰੀਨ ਨਾਲ ਨਹੀਂ। ਪ੍ਰਤੀ-ਐਪ ਇਜਾਜ਼ਤ ਸੂਚੀ ਕਲਾਇੰਟ ਦੇ ਅੰਦਰ ਲਾਗੂ ਹੁੰਦੀ ਹੈ, ਜੋ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਹ ਕੀ ਢੋਵੇਗਾ। ਨਾਮ-ਸਥਾਨ ਜਾਂ VM ਇੰਟਰਫੇਸ ਦੀ ਸੀਮਾ 'ਤੇ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਅੰਦਰ ਦੀ ਪ੍ਰਕਿਰਿਆ ਹੋਸਟ ਦਾ ਰੂਟ ਬਿਲਕੁਲ ਨਹੀਂ ਵੇਖ ਸਕਦੀ। ਮਸ਼ੀਨ 'ਤੇ ਲੌਗਇਨ ਸਕ੍ਰੀਨਾਂ ਦੀ ਗਿਣਤੀ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਬਾਰੇ ਵੀ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ।
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
ਸਾਰਣੀ ਨੂੰ ਕਤਾਰ-ਦਰ-ਕਤਾਰ ਪੜ੍ਹਨ ਨਾਲ ਦਿਸਦਾ ਹੈ ਕਿ ਅਸਲ ਸਵਾਲ ਇਹ ਨਹੀਂ ਕਿ ਅਲੱਗਾਅ ਹੈ ਜਾਂ ਨਹੀਂ, ਸਗੋਂ ਇਹ ਕਿ ਇਹ ਕਿੱਥੇ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ।
ਚਾਰ ਲਾਗੂ ਕਰਨ ਵਾਲੇ ਬਿੰਦੂਆਂ ਦੀ ਤੁਲਨਾ ਕਰੋ
Linux 'ਤੇ ਰੂਟ ਸਾਰਣੀ ਪਹਿਲੀ ਵੇਖਣ ਵਾਲੀ ਚੀਜ਼ ਹੈ, ਕਿਉਂਕਿ ਹੋਸਟ-ਵਿਆਪੀ ਟਨਲ ਉੱਥੇ ਦਿਸਦਾ ਹੈ ਅਤੇ ਨਾਮ-ਸਥਾਨ ਨਹੀਂ। ਦੂਜੇ ਵਰਤੋਂਕਾਰ ਵਜੋਂ ਖੋਜ ਚਲਾਉਣਾ ਉਹ ਕਦਮ ਹੈ ਜੋ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ; ਜਵਾਬ ਉਸ ਤੋਂ ਵੱਖਰਾ ਹੁੰਦਾ ਹੈ ਜੋ ਉਹਨਾਂ ਨੇ ਆਪਣੇ ਆਪ ਵਜੋਂ ਪਾਇਆ, ਅਤੇ ਇਹੀ ਰਿਪੋਰਟ ਨੂੰ ਸਮਝਾਉਂਦਾ ਹੈ।
ਅਗਲੀਆਂ ਦੋ ਜਾਂਚਾਂ ਰਾਊਟਿੰਗ ਦੀ ਥਾਂ ਨੀਤੀ ਵੱਲ ਵੇਖਦੀਆਂ ਹਨ। UID ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਫਾਇਰਵਾਲ ਨਿਯਮ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਪੈਦਾ ਹੋਏ ਟ੍ਰੈਫਿਕ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਇੱਕੋ ਹੋਸਟ 'ਤੇ ਦੋ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਵੱਖ ਕਰ ਸਕਦਾ ਹੈ, ਭਾਵੇਂ ਦੋਵੇਂ ਰੂਟ ਸਾਂਝਾ ਕਰਦੇ ਹੋਣ। ਸਪਸ਼ਟ ਇਜਾਜ਼ਤ ਸੂਚੀ ਵਾਲਾ ਕਨੈਕਸ਼ਨ ਪ੍ਰੋਫਾਈਲ ਸਰਗਰਮ ਹੋਣ ਵੇਲੇ ਨੈੱਟਵਰਕ ਮੈਨੇਜਰ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਕੋਈ ਵੀ ਜਾਂਚ ਟਨਲ ਬਦਲਣ ਦੀ ਮੰਗ ਨਹੀਂ ਕਰਦੀ, ਇਸ ਲਈ ਕੁਝ ਵੀ ਦੁਬਾਰਾ ਡਿਜ਼ਾਈਨ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਕਰਨਾ ਯੋਗ ਹੈ।
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidਜੇ ਦੂਜੀ ਖੋਜ ਟਨਲ ਦਾ ਰੂਟ ਦਿਖਾਉਂਦੀ ਹੈ, ਤਾਂ ਸੀਮਾ ਉੱਥੇ ਨਹੀਂ ਜਿੱਥੇ ਡਿਜ਼ਾਈਨ ਨੇ ਮੰਨਿਆ ਸੀ।
ਇੱਕੋ-ਸਮੇਂ ਸੈਸ਼ਨ ਦੇ ਨਿਯਮ ਵੱਖਰਾ ਨਿਯੰਤਰਣ ਹਨ
ਗੇਟਵੇ ਅਕਸਰ ਸੀਮਿਤ ਕਰਦੇ ਹਨ ਕਿ ਇੱਕ ਖਾਤਾ ਕਿੰਨੇ ਸੈਸ਼ਨ ਰੱਖ ਸਕਦਾ ਹੈ, ਅਤੇ ਉਸ ਸੀਮਾ ਦਾ ਸਥਾਨਕ ਵਰਤੋਂਕਾਰਾਂ ਨਾਲ ਕੋਈ ਸੰਬੰਧ ਨਹੀਂ। ਇਹ ਖਾਤੇ ਨੂੰ ਸੀਮਿਤ ਕਰਦੀ ਹੈ, ਇਸ ਲਈ ਉਹੀ ਪ੍ਰਮਾਣ ਪੱਤਰ ਲੈ ਕੇ ਸਾਈਨ ਇਨ ਕਰਨ ਵਾਲਾ ਦੂਜਾ ਵਿਅਕਤੀ ਪਹਿਲੇ ਵਿਅਕਤੀ ਦਾ ਟਨਲ ਖ਼ਤਮ ਕਰ ਸਕਦਾ ਹੈ।
ਸਥਾਨਕ ਅਲੱਗਾਅ ਦੀ ਸਮੱਸਿਆ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਫਲਤਾ ਪੜ੍ਹੋ। ਸੈਸ਼ਨ ਸੀਮਾ ਗੇਟਵੇ 'ਤੇ ਕਨੈਕਸ਼ਨ ਟੁੱਟਣਾ ਪੈਦਾ ਕਰਦੀ ਹੈ, ਜਦਕਿ ਦਾਇਰੇ ਦੀ ਸਮੱਸਿਆ ਇੱਕ ਕੰਮ ਕਰਨ ਵਾਲਾ ਟਨਲ ਪੈਦਾ ਕਰਦੀ ਹੈ ਜੋ ਸਿਰਫ਼ ਦੂਜੇ ਵਰਤੋਂਕਾਰ ਦਾ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਢੋਂਦਾ। ਇਹ ਦੋ ਲੱਛਣ ਪੂਰੀ ਤਰ੍ਹਾਂ ਵੱਖਰੇ ਸੁਧਾਰਾਂ ਵੱਲ ਲੈ ਜਾਂਦੇ ਹਨ। ਕਲਾਇੰਟ ਦਾ ਸਹੀ ਸੁਨੇਹਾ ਰੱਖੋ, ਕਿਉਂਕਿ ਇਹ ਆਮ ਤੌਰ 'ਤੇ ਨਿਯਮ ਦਾ ਨਾਮ ਦੱਸਦਾ ਹੈ। ਸੀਮਾ ਤੋਂ ਬਚਣ ਦੀ ਥਾਂ ਪ੍ਰੋਫਾਈਲ ਮਾਲਕ ਤੋਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਵਰਕਫਲੋ ਮੰਗੋ।
ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਕਿਸੇ ਨੂੰ ਵੀ ਉਸ ਨਿਯਮ ਤੋਂ ਮੁਕਤ ਨਹੀਂ ਕਰਦੀ, ਅਤੇ ਇਹ ਆਪਣਾ ਨੈੱਟਵਰਕ ਅਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਡਿਜ਼ਾਈਨ ਜੋੜਦੀ ਹੈ।
ਜਿਸ ਸੰਦਰਭ ਦੀ ਤੁਹਾਨੂੰ ਪਰਵਾਹ ਹੈ ਉਸ ਦੀ ਜਾਂਚ ਕਰੋ
ਇੱਛਤ ਵਰਤੋਂਕਾਰ ਅਤੇ ਐਪ ਦੀ ਜਾਂਚ ਕਰੋ, ਫਿਰ ਉਸ ਸੰਦਰਭ ਦੀ ਜਿਸਨੂੰ ਨਕਾਰਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਜੋ ਸਮੀਖਿਆ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਮੂਲ ਪਾਸਵਰਡ ਕੰਮ ਕਰਦਾ ਹੈ, ਉਸਨੇ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਜਾਂਚ ਕੀਤੀ ਅਤੇ ਹੋਰ ਕੁਝ ਨਹੀਂ।
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'ਹਰ ਨਤੀਜੇ ਦੇ ਕੋਲ ਲਾਗੂ ਕਰਨ ਵਾਲਾ ਬਿੰਦੂ ਲਿਖੋ: ਰੂਟ ਸਾਰਣੀ, UID ਨਿਯਮ, ਪ੍ਰੋਫਾਈਲ ਇਜਾਜ਼ਤ ਜਾਂ ਗੇਟਵੇ ਦੀ ਸੈਸ਼ਨ ਨੀਤੀ। ਉਹ ਰਿਕਾਰਡ ਅਗਲੇ ਬਦਲਾਅ ਨੂੰ ਸਮੀਖਿਆਯੋਗ ਬਣਾਉਂਦਾ ਹੈ। ਇਹ ਹਰ ਵਾਰ ਕੋਈ ਦੂਜੀ ਲੌਗਇਨ ਸਕ੍ਰੀਨ ਵੇਖਣ 'ਤੇ ਉਹੀ ਸਵਾਲ ਦੁਬਾਰਾ ਖੁੱਲ੍ਹਣ ਤੋਂ ਵੀ ਰੋਕਦਾ ਹੈ। ਪਹੁੰਚ ਅਧਿਕਾਰ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਅਲੱਗਾਅ ਨਹੀਂ ਹੈ।