Wi-Fi public și VPN: ce nu acoperă tunelul

Insignă verde, portal mulțumit, browser funcțional: aceasta este întreaga poveste vizibilă. Ce omite insigna este că legătura criptată este transportată exact de legătura fără fir de care ar trebui să vă protejeze. Acea legătură încă livrează fiecare pachet, încă vede adresa destinației și încă decide dacă ceva ajunge. Parcurgerea părții de laptop a unei conexiuni de hotel arată ce părți acoperă tunelul și ce părți vă lasă.

Legătura de acces transportă totul

Un tunel IPsec ESP înfășoară un pachet interior protejat într-un antet exterior pe care rețeaua îl poate ruta, iar RFC 4303 secțiunea 3.1.2 explică această separare. Pachetul interior este ceea ce protejează tunelul. Antetul exterior este ceea ce citește hotspotul pentru a-l transmite. Alte proiecte încapsulează altfel, dar întrebarea de planificare este identică: ce cale de acces transportă această conexiune?

O defecțiune a gateway-ului sau o legătură care pierde pachete oprește livrarea fără a dezvălui conținutul. Trecerea la un cifru mai puternic nu ajută la asta, pentru că piesa lipsă este transportul, nu criptografia. O livrare reușită demonstrează la fel de puțin în direcția opusă, deoarece o cale funcțională nu spune nimic despre starea niciuneia dintre cele două mașini.

Laptopul tău are încă propriile uși

Alăturarea la un segment neîncrezut schimbă cine poate ajunge la porturile pe care ascultă mașina ta. Un serviciu de partajare a fișierelor, un agent de administrare la distanță sau un server de dezvoltare legat de toate interfețele este accesibil oricui din acel segment, dacă ceva nu îl oprește. Traficul care nu intră niciodată în tunel nu este protejat de el. Un ascultător care răspunde înainte ca tunelul să fie ridicat este expus exact în acea fereastră.

Cerința este îngustă și merită formulată precis: laptopul trebuie să ajungă la punctul final VPN, iar dispozitivele nelegate din hotspot nu trebuie să ajungă la servicii locale. Regulile firewall-ului gazdă exprimă această graniță, iar setările proprii de partajare ale platformei exprimă și ele o parte din ea. O imprimantă sau un pas al portalului este o excepție limitată pe care o adaugi deliberat, nu o dovadă că întregul hotspot merită încrederea unui LAN de birou.

Unele organizații restricționează și accesul local cât timp o conexiune de lucru este activă, ceea ce este politică, nu inginerie. Citiți acea politică înainte de a dezactiva un firewall pentru ca un periferic să funcționeze.

Verifică ce ascultă de fapt

Uită-te la socketuri, nu la pagina de setări, pentru că pagina descrie intenția, iar tabelul de socketuri descrie mașina. Cele două liste de mai jos separă fiecare socket care ascultă de cele pe care un vecin le-ar putea atinge. Rulează-le în segmentul neîncrezut înainte de a conecta tunelul.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Prima comandă arată fiecare socket, iar a doua filtrează cele legate dincolo de loopback. Un serviciu pe 0.0.0.0 sau :: este disponibil pe fiecare interfață, inclusiv cea fără fir, în timp ce același serviciu pe 127.0.0.1 nu este deloc accesibil din segment. Interogarea resolverului confirmă ce cale ia numele înainte ca tunelul să existe, și acolo interferează portalurile captive. Repetă lista după conectare, pentru că unii clienți ridică interfețe care schimbă răspunsul.

Un port care apare doar cât timp tunelul este ridicat este mai puțin expus, deși merită totuși cunoscut. Notează diferența, nu lista absolută, pentru că delta este ceea ce a adăugat tunelul.

Nu accepta o identitate nouă la mijlocul sesiunii

O schimbare neașteptată de rută, o reconectare sau o redirecționare a portalului nu sunt permisiunea de a accepta o altă identitate de server. Dacă clientul raportează o nepotrivire de certificat sau de cheie, trateaz-o ca pe o constatare de identitate, nu ca pe o conectivitate de ocolit. Instalarea unui certificat rădăcină neexplicat pentru ca un portal să funcționeze transformă o problemă de livrare într-o problemă de încredere. Apoi problema de încredere supraviețuiește călătoriei care a creat-o.

Folosește fluxul de browser al portalului însuși, apoi reconectează tunelul și citește în jurnalul clientului ce identitate a verificat. O eroare de identitate înseamnă că cealaltă parte nu este cea așteptată, în timp ce o eroare de livrare înseamnă că cealaltă parte nu a răspuns niciodată. Prima este un motiv să te oprești, iar a doua un motiv să încerci altă cale.

Decide mai întâi comportamentul la întrerupere

Aici se confundă două funcții diferite. Reconectarea încearcă să restaureze serviciul, în timp ce o politică de blocare controlează ce trafic este permis cât timp tunelul este căzut. Niciuna nu oferă o legătură fără fir funcțională și niciuna nu dovedește că punctul final este curat. Alege explicit: eșec închis pentru aplicațiile care nu trebuie să folosească niciodată calea locală și permite navigarea obișnuită în afara tunelului dacă este acceptabil.

Notează alegerea, pentru că valoarea implicită din majoritatea clienților nu este niciuna dintre ele și variază în funcție de versiune. Apoi pregătește o cale de acces alternativă dacă disponibilitatea contează, cum ar fi un hotspot de telefon cu propriul plan de date. Un test de acceptare acceptabil are trei rezultate separate: traficul prevăzut folosește tunelul verificat, ascultătorii locali nelegați sunt inaccesibili, iar o întrerupere produce comportamentul ales.