ਸਾਂਝੇ TAP VPN ਨੂੰ ਪੋਰਟਲ 'ਤੇ ਹਾਲੇ ਵੀ HTTPS ਕਿਉਂ ਚਾਹੀਦਾ ਹੈ
TAP VPN ਸਾਥੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ, ਉਸ ਪਿੱਛੇ ਦੀ ਸੇਵਾ ਦੀ ਨਹੀਂ। ਪੋਰਟਲ 'ਤੇ ਹੋਸਟਨਾਮ ਪੁਸ਼ਟੀ ਰੱਖੋ ਅਤੇ ਜਿਨ੍ਹਾਂ ਗੁਆਂਢੀਆਂ 'ਤੇ ਭਰੋਸਾ ਨਹੀਂ, ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਰੱਖੋ।
ਦੋ ਡਿਵਾਈਸਾਂ ਕੋਲ ਵੈਧ VPN ਪ੍ਰਮਾਣ-ਪੱਤਰ ਹਨ ਅਤੇ ਉਹ ਇੱਕੋ ਬ੍ਰਿਜ ਕੀਤਾ Ethernet ਸੈਗਮੈਂਟ ਸਾਂਝਾ ਕਰਦੀਆਂ ਹਨ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਨੂੰ ਦਫ਼ਤਰ ਦੇ ਪੋਰਟਲ ਲਈ ਜਵਾਬ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਅਜੇ ਵੀ ਉਸ ਸੈਗਮੈਂਟ 'ਤੇ ਪੋਰਟਲ ਦਾ ਪਤਾ ਦਾਅਵਾ ਕਰ ਸਕਦਾ ਹੈ। ਟਨਲ ਨੇ ਆਪਣਾ ਕੰਮ ਕੀਤਾ: ਇਸ ਨੇ ਦੋਵੇਂ ਸਾਥੀਆਂ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਅਤੇ ਸਰਵਰ ਤੱਕ ਹਰ ਰਾਹ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ। ਜੋ ਇਸ ਨੇ ਨਹੀਂ ਕੀਤਾ ਉਹ ਇਹ ਪ੍ਰਮਾਣਿਤ ਕਰਨਾ ਸੀ ਕਿ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕਿਸ ਕੋਲ ਸੇਵਾ ਦਾ ਨਾਮ ਹੈ, ਅਤੇ ਇਹੀ ਖਾਲੀ ਥਾਂ ਉਹ ਕਾਰਨ ਹੈ ਕਿ ਪੋਰਟਲ ਨੂੰ ਅਜੇ ਵੀ ਵੈਧ ਸਰਟੀਫਿਕੇਟ ਚਾਹੀਦਾ ਹੈ।
VPN ਅਸਲ ਵਿੱਚ ਕੀ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ
VPN ਹੈਂਡਸ਼ੇਕ ਇੱਕ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ: ਕਿਹੜੇ ਸਾਥੀ ਨੇ ਇਹ ਟਨਲ ਕਿਹੜੀ ਕੁੰਜੀ ਸਮੱਗਰੀ ਨਾਲ ਪੂਰਾ ਕੀਤਾ। ਉਹ ਜਵਾਬ ਹਰ ਸਾਥੀ ਅਤੇ ਹਰ ਕਨੈਕਸ਼ਨ ਲਈ ਹੈ, ਅਤੇ ਉਹ ਉਸ ਸਾਥੀ ਵੱਲੋਂ ਬਾਅਦ ਵਿੱਚ ਦਿੱਤੀਆਂ ਸੇਵਾਵਾਂ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। TAP ਸੈਗਮੈਂਟ ਵਿੱਚ ਸਾਥੀ ਇੱਕ ਪਤਾ ਵੀ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਬ੍ਰਿਜ ਵੱਲੋਂ ਸਿੱਖਣ ਲਈ ਤਿਆਰ ਕਿਸੇ ਵੀ MAC ਅਤੇ ਕਿਸੇ ਵੀ IP ਨੂੰ ਪੇਸ਼ ਕਰ ਸਕਦਾ ਹੈ। ਪ੍ਰਮਾਣਿਕਤਾ ਟਨਲ ਦੇ ਸਿਰੇ 'ਤੇ ਰੁਕਦੀ ਹੈ, ਐਪਲੀਕੇਸ਼ਨ 'ਤੇ ਨਹੀਂ।
ਤਿੰਨ ਸਵਾਲਾਂ ਨੂੰ ਇੱਕ ਵਿੱਚ ਮਿਲਾਉਣ ਦੀ ਬਜਾਏ ਵੱਖ ਕਰੋ। ਹਰ ਇੱਕ ਦਾ ਆਪਣਾ ਤੰਤਰ ਅਤੇ ਆਪਣਾ ਅਸਫਲਤਾ ਢੰਗ ਹੈ।
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
ਕਿਸੇ ਤੈਨਾਤੀ ਵਿੱਚ ਪੂਰੀ ਤਰ੍ਹਾਂ ਪ੍ਰਮਾਣਿਤ ਟਨਲ ਅਤੇ ਉਸ ਪਿੱਛੇ ਪੂਰੀ ਤਰ੍ਹਾਂ ਅਪ੍ਰਮਾਣਿਤ ਸੇਵਾ ਹੋ ਸਕਦੀ ਹੈ। ਦੂਜੀ ਪਰਤ ਦਾ ਪਤਾ ਕਿਸੇ ਹੋਰ ਸਾਥੀ ਵੱਲੋਂ ਦਾਅਵਾ ਕੀਤੇ ਜਾ ਰਹੇ ਹੋਸਟ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਸਰਟੀਫਿਕੇਟ ਵੀ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਇਸ ਲਈ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਇੱਕ ਦੂਜੇ ਦੀ ਥਾਂ ਲੈਣ ਦੀ ਬਜਾਏ ਦੋਵੇਂ ਨਿਯੰਤਰਣ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ। ਸਾਰਣੀ ਤਿੰਨ ਕਤਾਰਾਂ ਵਿੱਚ ਪੂਰੀ ਦਲੀਲ ਹੈ।
ਸਾਂਝੇ ਸੈਗਮੈਂਟ 'ਤੇ ARP ਕੋਈ ਡਾਇਰੈਕਟਰੀ ਨਹੀਂ
ARP ਸਥਾਨਕ ਲਿੰਕ 'ਤੇ IPv4 ਪਤੇ ਨੂੰ MAC ਨਾਲ ਮੈਪ ਕਰਦਾ ਹੈ ਅਤੇ ਉਸ ਲਿੰਕ 'ਤੇ ਕਿਸੇ ਤੋਂ ਵੀ ਜਵਾਬ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਆਗਿਆ ਦੇਣ ਵਾਲੇ ਬ੍ਰਿਜ ਕੀਤੇ ਸੈਗਮੈਂਟ 'ਤੇ ਸਾਥੀ ਕਿਸੇ ਹੋਰ ਡਿਵਾਈਸ ਦਾ ਪਤਾ ਦਾਅਵਾ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਬ੍ਰਿਜ ਫਰੇਮ ਉਸ ਨੂੰ ਭੇਜਦਾ ਹੈ ਜਿਸ ਨੇ ਸਭ ਤੋਂ ਬਾਅਦ ਜਵਾਬ ਦਿੱਤਾ। ਸਰਵਰ ਤੱਕ ਹਰ ਕਲਾਇੰਟ ਰਾਹ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਨਾਲ ਇਹ ਨਹੀਂ ਬਦਲਦਾ, ਕਿਉਂਕਿ ਫਰੇਮ ਬ੍ਰਿਜ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਡੀਕ੍ਰਿਪਟ ਹੋ ਜਾਂਦੇ ਹਨ। ARP ਦੀ ਭਰੋਸੇ ਦੀ ਹੱਦ ਟਨਲ ਨਹੀਂ, ਸੈਗਮੈਂਟ ਹੈ।
ਦੇਖੋ ਹੋਸਟ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਸਿੱਖਿਆ: ip neigh show ਮੌਜੂਦਾ ਮੈਪਿੰਗ ਅਤੇ ਉਨ੍ਹਾਂ ਦੀ ਸਥਿਤੀ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਅਤੇ ਆਮ ਕਾਰਜ ਦੌਰਾਨ ਦੋ MAC ਪਤਿਆਂ ਵਿਚਕਾਰ ਬਦਲਣ ਵਾਲੀ ਐਂਟਰੀ ਅਣਡਿੱਠ ਕਰਨ ਦੀ ਬਜਾਏ ਜਾਂਚਣ ਯੋਗ ਲੱਛਣ ਹੈ। ਸਿਹਤਮੰਦ ਛੋਟੇ ਸੈਗਮੈਂਟ ਵਿੱਚ ਅਜਿਹੀਆਂ ਐਂਟਰੀਆਂ ਲੰਮੇ ਸਮੇਂ ਸਥਿਰ ਰਹਿੰਦੀਆਂ ਹਨ।
ਸਾਥੀ ਵੱਖਰੇ ਕਰਨਾ ਅਤੇ ਬ੍ਰਿਜ ਨੀਤੀ ਠੀਕ ਇਸੇ ਸਥਿਤੀ ਲਈ ਹਨ। ਜਦੋਂ ਸੇਵਾ ਸਿਰਫ਼ IP ਹੋਵੇ ਅਤੇ ਡਿਵਾਈਸਾਂ ਨੂੰ ਇੱਕ-ਦੂਜੇ ਦੇ ਫਰੇਮ ਦੇਖਣ ਦਾ ਕੋਈ ਕਾਰਨ ਨਾ ਹੋਵੇ, ਤਾਂ ਰੂਟ ਕੀਤਾ ਡਿਜ਼ਾਈਨ ਆਮ ਤੌਰ 'ਤੇ ਵਧੀਆ ਜਵਾਬ ਹੈ।
ਸਰਟੀਫਿਕੇਟ ਪੁਸ਼ਟੀ ਉੱਥੇ ਹੀ ਰੱਖੋ ਜਿੱਥੇ ਸੇਵਾ ਹੈ
ਐਪਲੀਕੇਸ਼ਨ ਦਾ TLS ਉਸ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਜੋ ਟਨਲ ਨਹੀਂ ਦੇ ਸਕਦਾ: ਕੀ ਇਹੀ ਉਹ ਸੇਵਾ ਹੈ ਜਿੱਥੇ ਮੈਂ ਪਹੁੰਚਣਾ ਚਾਹੁੰਦਾ ਸੀ। ਬ੍ਰਾਊਜ਼ਰ ਹੋਸਟਨਾਮ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਜਾਂਚਦਾ ਹੈ, ਅਤੇ ਉਹੀ ਜਾਂਚ ਲੜੀ ਦਾ ਇੱਕੋ-ਇੱਕ ਹਿੱਸਾ ਹੈ ਜੋ ਸਾਥੀ ਦੀ ਬਜਾਏ ਪੋਰਟਲ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ।
ਚੇਤਾਵਨੀ ਨੂੰ ਸਿਰਫ਼ ਦਿੱਖ ਦੀ ਗੱਲ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਦੇਖੋ ਸਰਵਰ ਕੀ ਪੇਸ਼ ਕਰਦਾ ਹੈ। openssl s_client -connect portal.example.internal:443 -servername portal.example.internal ਲੜੀ ਅਤੇ ਵਿਸ਼ੇ ਦੇ ਬਦਲਵੇਂ ਨਾਮ ਛਾਪਦਾ ਹੈ। ਜੇ ਤੁਹਾਡਾ ਟਾਈਪ ਕੀਤਾ ਨਾਮ ਉਸ ਸੂਚੀ ਵਿੱਚ ਨਹੀਂ ਹੈ, ਤਾਂ ਚੇਤਾਵਨੀ ਸਹੀ ਹੈ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਹੀ ਠੀਕ ਕਰਨ ਵਾਲੀ ਚੀਜ਼ ਹੈ। ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਇਸ ਨੂੰ ਪਾਰ ਕਰਨਾ ਸਿਖਾਉਣਾ ਕੰਮ ਕਰਦੇ ਨਿਯੰਤਰਣ ਨੂੰ ਸਜਾਵਟ ਵਿੱਚ ਬਦਲ ਦਿੰਦਾ ਹੈ।
OpenVPN ਬ੍ਰਿਜਿੰਗ ਗਾਈਡ Ethernet ਮਾਡਲ ਅਤੇ ਇਸ ਦੁਆਲੇ ਦੇ ਨੀਤੀ ਵਿਕਲਪਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ, ਅਤੇ ਸੈਗਮੈਂਟ ਨੂੰ ਕੀ ਮਨਜ਼ੂਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਲਈ ਇਹ ਸਹੀ ਸੰਦਰਭ ਹੈ। ਬ੍ਰਿਜ ਨਿਯਮ ਢਿੱਲਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨੂੰ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਇਹ ਜੋ ਮਾਡਲ ਦੱਸਦੀ ਹੈ ਉਹੀ ਉੱਪਰਲੀ ਹਰ ਜਾਂਚ ਮੰਨ ਲੈਂਦੀ ਹੈ।
ਤੈਅ ਕਰੋ ਕਿ ਕੀ ਉਨ੍ਹਾਂ ਸਾਥੀਆਂ ਨੂੰ ਸੈਗਮੈਂਟ ਸਾਂਝਾ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ
ਲੋੜ ਸਿਰਫ਼ IP ਪਹੁੰਚ ਹੋਣ 'ਤੇ ਦੂਜੀ ਪਰਤ ਸਾਂਝੀ ਕਰਨਾ ਬੰਦ ਕਰਨਾ ਆਮ ਤੌਰ 'ਤੇ ਸਭ ਤੋਂ ਸਸਤਾ ਹੱਲ ਹੈ। ਰੂਟ ਕੀਤਾ VPN ਹਰ ਕਲਾਇੰਟ ਨੂੰ ਆਪਣਾ ਪਤਾ ਦਿੰਦਾ ਹੈ, ਸਾਂਝਾ ਬ੍ਰਾਡਕਾਸਟ ਡੋਮੇਨ ਹਟਾਉਂਦਾ ਹੈ ਅਤੇ ਸਾਥੀਆਂ ਵਿਚਕਾਰ ਟ੍ਰੈਫਿਕ ਨੂੰ ਡਿਫਾਲਟ ਦੀ ਬਜਾਏ ਨੀਤੀ ਫੈਸਲਾ ਬਣਾਉਂਦਾ ਹੈ। ਫਿਰ ਪੋਰਟਲ ਕੋਲ ਬਚਾਉਣ ਲਈ ਇੱਕ ਪਤਾ ਹੁੰਦਾ ਹੈ ਅਤੇ ਉਸ 'ਤੇ ਦਾਅਵਾ ਕਰ ਸਕਣ ਵਾਲਾ ਕੋਈ ਗੁਆਂਢੀ ਨਹੀਂ।
ਜੇ ਸੈਗਮੈਂਟ ਰਹਿਣਾ ਹੀ ਹੈ, ਤਾਂ ਸਰਵਰ-ਸਾਈਡ ਸੈਟਿੰਗ ਜਾਂਚੋ ਜੋ ਕਲਾਇੰਟਾਂ ਨੂੰ ਇੱਕ-ਦੂਜੇ ਤੱਕ ਪਹੁੰਚਣ ਦਿੰਦੀ ਹੈ: grep -n client-to-client /etc/openvpn/server.conf। ਇਹ ਬੰਦ ਹੋਣ 'ਤੇ ਕਲਾਇੰਟ ਟ੍ਰੈਫਿਕ ਸਰਵਰ ਰਾਹੀਂ ਲੰਘਦਾ ਹੈ ਅਤੇ ਉੱਥੇ ਫਿਲਟਰ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇਹ ਚਾਲੂ ਹੋਣ 'ਤੇ ਸਾਥੀ ਸਿੱਧਾ ਬ੍ਰਿਜ ਰਾਹੀਂ ਫਰੇਮਾਂ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ, ਅਤੇ ਤੁਹਾਡੇ ਫਿਲਟਰਿੰਗ ਬਿੰਦੂ ਬ੍ਰਿਜ ਅਤੇ ਹੋਸਟ ਫਾਇਰਵਾਲ ਹਨ।
ਲਿਖੋ ਕਿ ਹਰ ਹੋਸਟ ਅਸਲ ਵਿੱਚ ਕਿਨ੍ਹਾਂ ਸੁਰੱਖਿਆਵਾਂ 'ਤੇ ਨਿਰਭਰ ਹੈ: ਟਨਲ ਪ੍ਰਮਾਣਿਕਤਾ, ਸੈਗਮੈਂਟ ਵੱਖਰਾਵ ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ TLS। ਤਿੰਨਾਂ 'ਤੇ ਨਿਰਭਰ ਹੋਸਟ ਠੀਕ ਹੈ। ਪਹਿਲੀ 'ਤੇ ਨਿਰਭਰ ਕਰਕੇ ਬਾਕੀ ਦੋ ਇਸ ਦੇ ਨਾਲ ਆਈਆਂ ਮੰਨਣ ਵਾਲਾ ਹੋਸਟ ਅੰਤ ਵਿੱਚ ਗਲਤ ਸਮੱਗਰੀ ਪਰੋਸਦਾ ਹੈ।