Общественный Wi-Fi и VPN: что туннель не закрывает

Зелёный значок, довольный портал, работающий браузер: это вся видимая история. Значок умалчивает о том, что зашифрованное соединение несёт именно то беспроводное звено, от которого оно должно вас защищать. Это звено по-прежнему доставляет каждый пакет, по-прежнему видит адрес назначения и по-прежнему решает, дойдёт ли что-нибудь вообще. Разбор стороны ноутбука в гостиничном подключении показывает, какие части туннель закрывает, а какие оставляет вам.

Звено доступа несёт всё

Туннель IPsec ESP заворачивает защищённый внутренний пакет во внешний заголовок, который сеть может маршрутизировать, а RFC 4303 раздел 3.1.2 объясняет это разделение. Внутренний пакет — то, что защищает туннель. Внешний заголовок — то, что читает точка доступа, чтобы его переслать. Другие схемы инкапсулируют иначе, но вопрос планирования тот же: какой путь доступа несёт это соединение?

Сбой шлюза или звено, теряющее пакеты, останавливает доставку, не раскрывая содержимое. Переход на более стойкий шифр здесь не помогает, потому что не хватает транспорта, а не криптографии. Успешная доставка в обратную сторону доказывает столь же мало, ведь работающий путь ничего не говорит о состоянии ни одной из двух машин.

У вашего ноутбука по-прежнему свои двери

Подключение к недоверенному сегменту меняет то, кто может добраться до портов, на которых слушает ваша машина. Служба обмена файлами, агент удалённого администрирования или сервер разработки, привязанный ко всем интерфейсам, доступен любому в этом сегменте, если что-то его не остановит. Трафик, который никогда не входит в туннель, им не защищён. Слушатель, отвечающий до поднятия туннеля, открыт ровно на это окно.

Требование узкое и заслуживает точной формулировки: ноутбук должен достигать конечной точки VPN, а посторонние устройства в точке доступа не должны достигать локальных служб. Правила межсетевого экрана на хосте выражают эту границу, а собственные настройки общего доступа платформы тоже выражают её часть. Принтер или шаг портала — это ограниченное исключение, которое вы добавляете осознанно, а не доказательство того, что вся точка доступа заслуживает доверия офисной ЛВС.

Некоторые организации также ограничивают локальный доступ, пока активно рабочее подключение, и это политика, а не инженерия. Прочитайте эту политику, прежде чем отключать межсетевой экран, чтобы заработало периферийное устройство.

Проверьте, что действительно слушает

Смотрите на сокеты, а не на страницу настроек, потому что страница описывает намерение, а таблица сокетов описывает машину. Два списка ниже отделяют каждый слушающий сокет от тех, до которых мог бы добраться сосед. Запустите их в недоверенном сегменте перед подключением туннеля.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Первая команда показывает каждый сокет, а вторая фильтрует те, что привязаны за пределами loopback. Служба на 0.0.0.0 или :: доступна на каждом интерфейсе, включая беспроводной, тогда как та же служба на 127.0.0.1 из сегмента вообще недоступна. Запрос к резолверу подтверждает, какой путь выбирает имя до появления туннеля, и именно там мешают захваченные порталы. Повторите список после подключения, потому что некоторые клиенты поднимают интерфейсы, меняющие ответ.

Порт, который появляется только при поднятом туннеле, менее открыт, хотя знать о нём всё равно стоит. Записывайте разницу, а не абсолютный список, потому что дельта — это то, что добавил туннель.

Не принимайте новую личность посреди сеанса

Неожиданная смена маршрута, переподключение или перенаправление портала не являются разрешением принять другую личность сервера. Если клиент сообщает о несовпадении сертификата или ключа, относитесь к этому как к находке о личности, а не как к связности, которую нужно обойти. Установка необъяснённого корневого сертификата, чтобы заработал портал, превращает проблему доставки в проблему доверия. И тогда проблема доверия переживает поездку, которая её создала.

Используйте собственный поток браузера портала, затем переподключите туннель и прочитайте в журнале клиента, какую личность он проверил. Ошибка личности означает, что другая сторона не та, кого вы ждали, тогда как ошибка доставки означает, что другая сторона так и не ответила. Первое — повод остановиться, второе — повод попробовать другой путь.

Сначала решите поведение при сбое

Здесь путают две разные функции. Переподключение пытается восстановить службу, а политика блокировки управляет тем, какой трафик разрешён, пока туннель не работает. Ни то, ни другое не даёт работающего беспроводного звена и не доказывает, что конечная точка чиста. Выберите явно: закрытый отказ для приложений, которые никогда не должны использовать локальный путь, и разрешите обычный просмотр вне туннеля, если это приемлемо.

Запишите выбор, потому что по умолчанию в большинстве клиентов нет ни того, ни другого, и он зависит от версии. Затем подготовьте альтернативный путь доступа, если важна доступность, например телефонную точку доступа с собственным тарифом данных. Приемлемый приёмочный тест имеет три отдельных результата: предназначенный трафик использует проверенный туннель, посторонние локальные слушатели недоступны, а сбой даёт выбранное вами поведение.