بې باوره VPN درې جلا حدود دي، نه یو

«زه په دې VPN باور نه لرم» معمولاً په یوه جمله کې اغوستې درې ادعاوې دي۔ د هغې شبکې لیرې سیالان ستاسو په کوربه کې خدماتو ته رسېدلی شي، هغه عملیات کوونکی چې تونل چلوي د هغه له لارې تېر ترافیک ګوري، او هغه کلینټ سافټویر چې تاسو نصب کړی ستاسو د ماشین شبکه یی تګلاره بدلولی شي۔ هغه باور چې د سمون وړ دی دا دی چې د فایر وال قاعده، مجازي ماشین یا د عملیاتي سیستم پاملرنه کوونکی انتخاب درې واړه ته ځواب وایي۔ هر اقدام په دقیق ډول یوې ته ځواب وایي۔

افسانه: یو کنټرول ټول خطر پوښي

عمومي انګیرنه دا ده چې بې باوره شبکې ته ننوتل یو تصمیم او یوه کمزوري کول دي۔ خلک هغه کنټرول غوره کوي چې دمخه پرې باور لري، پلي یې کوي او خطر پای ته رسېدلی ګڼي: فایر وال فعال دی، کاري ځای یو ځله کارېدونکی دی، کلینټ له معتبر پلورونکي راغلی۔

دا کنټرولونه هغسې نه یو پر بل پوښي لکه انګیرنه یې وړاندیز کوي۔ په کوربه کې فایر وال محدودوي چې لیرې سیال چېرته رسېدلی شي، او هغه عملیات کوونکي ته چې ستاسو TLS پای ته رسوي هېڅ نه کوي۔ مجازي ماشین کاري ځای ستاسو د کوربه د فایلونو څخه بېلوي، او هغه کلینټ برخې ته چې د دواړو لاندې شبکه ایډز بیا تنظیم کړي هېڅ نه کوي۔ هرهغه حد چې هر کنټرول واقعاً جوړوي نومول هغه ټول تمرین دی۔

د دوی بېلول تاسو ته دا هم وایي چې کوم خطر مو د منلو لپاره غوره کړی۔ ډېری ریښتیني تصمیمونه یو حد کموي او بل زغمي، او دا ښه دی ترڅو چې د بدلون ثبت ووایي کوم کوم دی۔

لیرې سیال واقعاً چېرته رسېدلی شي

له اورېدونکو خدمتونو پیل وکړئ۔ هغه تونل انټرفیس چې پراخ باوري ګڼل کېږي ځکه چې پیکټونه یې کوډ شوي راغلي، هغه عادي تېروتنه ده، او هر سیمه ایز اورېدونکی د هغې شبکې نورو ټولو لپاره ممکن هدف ګرځوي۔ کوډ کول د دوو پایونو ترمنځ تار ساتي؛ د بل پای سیال د ارادې په اړه هېڅ نه وایي۔

ss -tulpn
sudo nft list ruleset
ip -br addr

خدمات هغه پتې ته وتړئ چې ورته اړتیا لري نه هر انټرفیس ته، او یوازې هغه عملیات اجازه کړئ چې تصویب شوې دنده یې غواړي۔ لېږد، پل او د اپلیکیشن پروکسي څرګند وساتئ، ځکه دوه شبکه ایز تړاوونه پخپله د تېرېدو لاره نه جوړوي، خو د پروکسي قاعده یقیناً جوړولی شي۔

تصویب شوی یو ځله کارېدونکی کاري ځای کموي چې لیرې شبکه چېرته رسېدلی شي، خو یوازې هغه وخت چې د هغه شریکول د ادعا سره سمون ولري۔ شریک شوي فولډرونه، کلیپ بورډ یوځای کول، د اعتبار اسنادو استازي او مدیریت چینلونه ټول هغه حد تېروي چې کاري ځای باید جوړ کړی وای۔ د کاري ځای لیبل د دې په اړه هېڅ نه ثابتوي چې کوم یې خلاص دي۔

د NIST صفر باور معماری د دې ټولو شاته اصول بیانوي: یوازې شبکه ایز موقعیت پخپله ناڅرګند باور نه ورکوي۔ د سرچینې تصدیق له تونل منلو وروسته هم کار لري، او هغه پوښتنه چې بل څوک هغه شبکه شریکوي هم۔

په لاره کې عملیات کوونکی څه لیدلی شي

VPN ستاسو ترافیک په لاره کې بل ځای ته لېږدوي؛ دا د اپلیکیشن کوډ کول نه زیاتوي۔ که چمتو کوونکی ستاسو TLS پای ته رسوي، چمتو کوونکی هغه څه لولي چې ستاسو براوزر به بل ډول ساتلی وای، او هېڅ سیمه ایزه د فایر وال قاعده دا نه بدلوي۔

د ریښتیني منزل لپاره نورمال تصدیق سند وساتئ او د حل کوونکي او میټاډیټا لاره وپېژنئ، ځکه DNS پوښتنه کېدای شي د هغې څخه مخکې تلونکي بار څخه ډېر څه ښکاره کړي۔ یوازې میټاډیټا، یعنې تاسو کومو پتو سره کله اړیکه وکړه، ډېری وخت د منځپانګې لوستلو ته اړتیا پرته د عملیات کوونکي پوښتنې ته ځواب وایي۔ له همدې کبله «ترافیک کوډ شوی» او «ترافیک شخصي» بېل ادعاوې دي۔

که هغه لید د دندې لپاره د منلو وړ نه وي، ځواب نور سیمه ایز فلټر نه، بل تصویب شوی معماری دی۔ سیمه ایز فلټر کولای نه شي یو څارونکی له هغې لارې لرې کړي چې هغه لا پرې ناست دی۔

سیمه ایز کلینټ څه بدلولی شي

دا هغه حد دی چې خلک پرې تېرېږي، او همدا هغه دی چې نور دوه بې مانا کوي۔ په لینکس کې CAP_NET_ADMIN د انټرفیسونو تنظیم، د فایر وال اداره او د لارو بدلونونه په خپل شبکه ایز شرایطو کې رانغاړي۔ هغه سافټویر چې دا وړتیا لري کولای شي هغه تګلاره بیا ولیکي چې تاسو همدا اوس لیکلې۔

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

د شبکې نوم ځای د شبکې حالت لپاره ریښتینی حد دی او د نورو ټولو لپاره کمزوری: دا د فایل سیستم یا د اعتبار اسنادو زېرمه نه جلا کوي۔ دا یوه طبقه وګڼئ نه د ټولې ستونزې کانټینر۔

کلینټ او د هغه تنظیمات له ساتل شوې سرچینې ترلاسه کړئ، هغه واک چې غواړي بیا وګورئ، او ځانګړي برخې د مدیر تر کنټرول لاندې وساتئ۔ مجازي ماشین کولای شي د یوې وړ ارزونې حد برخه وي پرته له دې چې د ارزښتناکو اعتبار اسنادو ترڅنګ د ناڅرګند نصب کوونکي چلولو اجازه شي۔ نصب کوونکی په هر هغه واک چې ورکړئ چلیږي، او هغه واک حد دی۔

ولیږئ چې کوم حد مو ومنه

د یوې جملې سره پای ته ورسئ چې څلور شیان نوموي: باوري سیمه ایز کوډ، اجازه شوی لیرې لاسرسی، ساتل شوې اپلیکیشن ډیټا او پاتې عملیات کوونکي اړیکه۔ هغه جمله د دې عمومي ادعا څخه ډېره ارزښتناکه ده چې VM، عملیاتي سیستم یا د ویروس ضد محصول یوه دښمنه شبکه خوندي کړه۔

بیا تایید کړئ چې تنګ عملیات کار کوي او غوښتل شوې منع لاهم ټینګه ده، حتی وروسته له دې چې تونل ولوېږي۔ هغه حد چې یوازې تر هغه وخته شته چې تونل پورته دی ستاسو مستند شوی حد نه دی۔

هېڅ ازموینه نه ثابتوي چې هر زیانمنونکې نه شته، او هغه بیاکتنه چې خلاف یې ادعا کوي ډېره وایي۔ رښتینی پایله پاتې خطر او هغه کس چې منلی یې دی نوموي۔