Publiczne Wi-Fi i VPN: czego tunel nie obejmuje

Zielona plakietka, zadowolony portal, działająca przeglądarka: to cała widoczna historia. Plakietka pomija to, że szyfrowane połączenie jest przenoszone właśnie przez to łącze bezprzewodowe, przed którym ma cię chronić. To łącze nadal dostarcza każdy pakiet, nadal widzi adres docelowy i nadal decyduje, czy cokolwiek dotrze. Przejrzenie strony laptopa w połączeniu hotelowym pokazuje, które części tunel obejmuje, a które zostawia tobie.

Łącze dostępu przenosi wszystko

Tunel IPsec ESP owija chroniony pakiet wewnętrzny w zewnętrzny nagłówek, który sieć może trasować, a RFC 4303 sekcja 3.1.2 wyjaśnia ten podział. Pakiet wewnętrzny jest tym, co tunel chroni. Zewnętrzny nagłówek jest tym, co hotspot czyta, aby go przekazać dalej. Inne rozwiązania enkapsulują inaczej, ale pytanie planistyczne jest takie samo: która ścieżka dostępu przenosi to połączenie?

Awaria bramy lub łącze gubiące pakiety zatrzymuje dostarczanie bez ujawniania treści. Przejście na silniejszy szyfr nic tu nie daje, bo brakującym elementem jest transport, a nie kryptografia. Udane dostarczenie dowodzi równie mało w drugą stronę, ponieważ działająca ścieżka nic nie mówi o stanie żadnej z dwóch maszyn.

Twój laptop nadal ma własne drzwi

Dołączenie do niezaufanego segmentu zmienia to, kto może dotrzeć do portów, na których nasłuchuje twoja maszyna. Usługa udostępniania plików, agent zdalnego zarządzania lub serwer programistyczny przypisany do wszystkich interfejsów jest osiągalny dla każdego w tym segmencie, chyba że coś go zatrzyma. Ruch, który nigdy nie wchodzi do tunelu, nie jest przez niego chroniony. Nasłuchujący, który odpowiada przed podniesieniem tunelu, jest wystawiony dokładnie na to okno.

Wymóg jest wąski i wart precyzyjnego sformułowania: laptop musi dotrzeć do punktu końcowego VPN, a niepowiązane urządzenia w hotspocie nie mogą docierać do usług lokalnych. Reguły zapory hosta wyrażają tę granicę, a własne ustawienia udostępniania platformy również wyrażają jej część. Drukarka lub krok portalu to ograniczony wyjątek, który dodajesz świadomie, a nie dowód, że cały hotspot zasługuje na zaufanie sieci biurowej.

Niektóre organizacje ograniczają też dostęp lokalny, dopóki aktywne jest połączenie służbowe, i jest to polityka, a nie inżynieria. Przeczytaj tę politykę, zanim wyłączysz zaporę, aby zadziałało urządzenie peryferyjne.

Sprawdź, co naprawdę nasłuchuje

Patrz na gniazda, a nie na stronę ustawień, ponieważ strona opisuje intencję, a tabela gniazd opisuje maszynę. Dwie listy poniżej oddzielają każde nasłuchujące gniazdo od tych, do których mógłby dotrzeć sąsiad. Uruchom je w niezaufanym segmencie przed podłączeniem tunelu.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Pierwsze polecenie pokazuje każde gniazdo, a drugie filtruje te przypisane poza loopback. Usługa na 0.0.0.0 lub :: jest dostępna na każdym interfejsie, także bezprzewodowym, podczas gdy ta sama usługa na 127.0.0.1 nie jest w ogóle osiągalna z segmentu. Zapytanie resolvera potwierdza, którą ścieżką podąża nazwa, zanim tunel istnieje, i tam właśnie przeszkadzają portale przechwytujące. Powtórz listę po połączeniu, ponieważ niektóre klienty podnoszą interfejsy, które zmieniają odpowiedź.

Port, który pojawia się tylko przy podniesionym tunelu, jest mniej wystawiony, choć nadal warto o nim wiedzieć. Zanotuj różnicę, a nie listę bezwzględną, ponieważ delta jest tym, co tunel dodał.

Nie akceptuj nowej tożsamości w środku sesji

Nieoczekiwana zmiana trasy, ponowne połączenie lub przekierowanie portalu nie są zgodą na przyjęcie innej tożsamości serwera. Jeśli klient zgłasza niezgodność certyfikatu lub klucza, traktuj to jako ustalenie dotyczące tożsamości, a nie jako łączność do obejścia. Zainstalowanie niewyjaśnionego certyfikatu głównego, aby portal działał, zamienia problem dostarczania w problem zaufania. Potem problem zaufania przeżywa podróż, która go stworzyła.

Użyj własnego przepływu przeglądarki portalu, następnie połącz tunel ponownie i przeczytaj w dzienniku klienta, jaką tożsamość zweryfikował. Niepowodzenie tożsamości oznacza, że druga strona nie jest tym, kogo oczekiwałeś, podczas gdy niepowodzenie dostarczania oznacza, że druga strona nigdy nie odpowiedziała. Pierwsze jest powodem, by się zatrzymać, a drugie powodem, by spróbować innej ścieżki.

Najpierw zdecyduj o zachowaniu przy awarii

Miesza się tu dwie różne funkcje. Ponowne łączenie próbuje przywrócić usługę, podczas gdy polityka blokowania kontroluje, jaki ruch jest dozwolony, gdy tunel jest wyłączony. Żadna nie zapewnia działającego łącza bezprzewodowego i żadna nie dowodzi, że punkt końcowy jest czysty. Wybierz wyraźnie: zamknięta awaria dla aplikacji, które nigdy nie mogą używać ścieżki lokalnej, i zezwól na zwykłe przeglądanie poza tunelem, jeśli jest to dopuszczalne.

Zapisz wybór, ponieważ domyślne ustawienie w większości klientów nie jest żadnym z nich i zmienia się w zależności od wersji. Następnie przygotuj alternatywną ścieżkę dostępu, jeśli dostępność ma znaczenie, na przykład hotspot telefoniczny z własnym planem danych. Akceptowalny test odbiorczy ma trzy odrębne wyniki: zamierzony ruch korzysta ze zweryfikowanego tunelu, niepowiązane lokalne nasłuchy są nieosiągalne, a awaria daje zachowanie, które wybrałeś.