ولې یو شریک TAP VPN لا هم په پورټل کې HTTPS ته اړتیا لري
TAP VPN همکار تصدیقوي، نه هغه خدمت چې تر شا یې دی. په پورټل کې د کوربه نوم تصدیق وساتئ او هغه ګاونډیان جلا کړئ چې باور پرې نه لرئ.
دوه وسیلې معتبر VPN اسناد لري او یو ګډ پل شوی Ethernet برخه شریکوي۔ یوازې یو له دوی څخه باید د دفتر پورټل لپاره ځواب ووايي، او بل لا هم کولی شي په هغه برخه کې د پورټل پته ادعا کړي۔ تونل خپله کړنه وکړه: دواړه همکاران یې تصدیق کړل او هر لاره یې تر سرور پورې کوډ کړه۔ هغه څه چې هغه ونه کړل دا و چې تصدیق کړي کوم یو له دوی د خدمت نوم لري، او همدا تشه د دې لامل ده چې پورټل لا هم معتبر سند ته اړتیا لري۔
VPN په حقیقت کې څه تصدیقوي
د VPN لاس ورکول یوې پوښتنې ته ځواب وایي: کوم همکار دا تونل او د کومې کیلي موادو سره بشپړ کړ۔ هغه ځواب د هر همکار او هر اړیکې لپاره دی او د هغو خدمتونو په اړه هیڅ نه وایي چې هغه همکار وروسته وړاندې کوي۔ په TAP برخه کې همکار حتی یوه پته هم نه ده، ځکه چې کولی شي هر MAC او هر IP وړاندې کړي چې پل یې زده کولو ته چمتو دی۔ تصدیق د تونل په پای کې درېږي، نه په اپلیکیشن کې۔
درې پوښتنې جلا کړئ پرځای د دې چې یوې ته یې یوځای کړئ۔ هر یو خپل میکانیزم او خپله ناکامۍ لاره لري۔
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
یو ځایېدل کولی شي بشپړ تصدیق شوی تونل او د هغه تر شا بشپړ ناتصدیق شوی خدمت ولري۔ همدارنګه کولی شي د دویمې طبقې پته په هغه کوربه کې تصدیق شوی سند ولري چې بله همکار یې ادعا کوي، او له همدې امله باید دواړه کنټرولونه په ډیزاین کې وي نه یو د بل ځای۔ جدول په درې کرښو کې ټوله استدلال دی۔
په ګډه برخه کې ARP لارښود نه دی
ARP په ځایي لینک کې IPv4 پته له MAC سره نښلوي او د هغه لینک له هر چا څخه ځوابونه مني۔ په اجازه ورکوونکې پل شوې برخه کې همکار کولی شي د بل وسیله پته ادعا کړي، او پل چوکاټونه هغه چا ته لیږدوي چې په پای کې یې ځواب ویلی وي۔ د هر پیرودونکي لارې کوډ کول تر سرور پورې دا نه بدلوي، ځکه چې چوکاټونه د پل ته رسېدو دمخه کوډ پرانیستل کیږي۔ د ARP باور پوله برخه ده، نه تونل۔
وګورئ چې کوربه په حقیقت کې څه زده کړل: ip neigh show اوسني نقشې او د هغوی حالت لیست کوي، او هغه ننوتل چې په نورمال کار کې د دوو MAC پتو ترمنځ بدلیږي د پام وړ نښه ده نه د پرېښودو وړ۔ په روغه کوچنۍ برخه کې دا ډول ننوتل اوږد وخت ثابت پاتې کیږي۔
د همکارانو جلا کول او د پل تګلاره په سمه توګه د دې حالت لپاره دي۔ کله چې خدمت یوازې IP وي او وسیلې هیڅ دلیل نلري چې د یو بل چوکاټونه وویني، د لارې جوړ شوی ډیزاین معمولا غوره ځواب دی۔
د سند تصدیق هغه ځای کې وساتئ چې خدمت هلته دی
د اپلیکیشن TLS هغې پوښتنې ته ځواب وایي چې تونل یې نه شي کولی: ایا دا هغه خدمت دی چې زه غواړم ورته ورسیږم۔ براوزر د کوربه نوم د سند سره ګوري، او همدا کتنه د زنځیر یوازینی برخه ده چې پورټل نوموي نه همکار۔
د دې پرېکړې دمخه چې خبرداری یوازې ظاهري دی، وګورئ سرور څه وړاندې کوي۔ openssl s_client -connect portal.example.internal:443 -servername portal.example.internal زنځیر او د موضوع بدیل نومونه چاپوي۔ که هغه نوم چې تاسو ټایپ کړی په دې لیست کې نه وي، خبرداری سم دی او سند هغه څه دی چې باید سم شي۔ کاروونکو ته د هغې تېرېدل ښوول یو کار کوونکی کنټرول په ښکلا بدلوي۔
د OpenVPN د پل جوړولو لارښود د Ethernet ماډل او د هغې شاوخوا تګلارې انتخابونه تشریح کوي، او د دې لپاره سمه سرچینه ده چې برخه باید څه اجازه ورکړي۔ د پل قاعده نرمولو دمخه یې ولولئ، ځکه چې هغه ماډل چې تشریح کوي همغه دی چې پورته هر کتنه یې فرض کوي۔
پرېکړه وکړئ چې ایا هغه همکاران باید په بشپړ ډول یوه برخه شریکه کړي
تر ټولو ارزانه حل معمولا دا دی چې د دویمې طبقې شریکول بند کړئ کله چې اړتیا یوازې د IP رسیدل وي۔ لارې جوړ شوی VPN هر پیرودونکي ته خپله پته ورکوي، ګډ خپریدونکی ډومین لرې کوي او د همکارانو ترمنځ ترافیک په تګلاره پرېکړه بدلوي نه په اصلي حالت۔ بیا پورټل یوه پته لري چې وساتل شي او هیڅ ګاونډی نه چې ادعا یې کولی شي۔
که برخه باید پاتې شي، هغه سرور اړخ ترتیبات وګورئ چې پیرودونکو ته اجازه ورکوي یو بل ته ورسیږي: grep -n client-to-client /etc/openvpn/server.conf۔ کله چې نا فعال وي، د پیرودونکو ترافیک له سرور څخه تیریږي او هلته فلټر کیدی شي۔ کله چې فعال وي، همکاران چوکاټونه مستقیم د پل له لارې تبادله کوي، او ستاسو د فلټر کولو نقطې پل او د کوربه اور دیوال دي۔
ولیكم چې هر کوربه په حقیقت کې کومو ساتنو ته تکیه کوي: د تونل تصدیق، د برخې جلا کول یا د اپلیکیشن TLS. هغه کوربه چې پر درېیو ټولو تکیه کوي سم دی۔ هغه کوربه چې پر لومړي تکیه کوي او فرض کوي چې نور دوه ورسره راغلي هغه دی چې په پای کې ناسم منځپانګه وړاندې کوي۔