හවුල් TAP VPN එකකට තවමත් ද්වාරයේ HTTPS අවශ්‍ය වන්නේ ඇයි
TAP VPN එකක් සමකක් සත්‍යාපනය කරයි, එහි පිටුපස ඇති සේවාව නොවේ. ද්වාරයේ සත්කාරක නාම සත්‍යාපනය තබා ඔබ විශ්වාස නොකරන අසල්වැසියන් හුදකලා කරන්න.
උපාංග දෙකකට වලංගු VPN අක්තපත්‍ර ඇති අතර ඒවා එකම පාලම් කළ Ethernet කොටසක් බෙදා ගනී. ඒවායින් එකක් පමණක් කාර්යාල ද්වාරය වෙනුවෙන් පිළිතුරු දිය යුතු අතර, අනෙකට තවමත් එම කොටසේ ද්වාර ලිපිනය ඉල්ලා සිටිය හැක. උමං මඟ එහි කාර්යය කළේය: එය සමක දෙකම සත්‍යාපනය කළ අතර සේවාදායකයට යන සෑම මාර්ගයක්ම සංකේතනය කළේය. එය නොකළ දේ වන්නේ ඔවුන්ගෙන් කාට සේවා නාමයක් හිමිද යන්න සහතික කිරීමයි, එම හිඩැස නිසාම ද්වාරයට තවමත් වලංගු සහතිකයක් අවශ්‍ය වේ.
VPN ඇත්තටම සත්‍යාපනය කරන්නේ කුමක්ද
VPN අතට අත දීම එක් ප්‍රශ්නයකට පිළිතුරු දෙයි: කුමන සමකය මෙම උමං මඟ සම්පූර්ණ කළේද, කුමන යතුරු ද්‍රව්‍යයක් සමඟද. එම පිළිතුර සෑම සමකයකට හා සෑම සම්බන්ධතාවකට අදාළ වන අතර, එම සමකය පසුව නිරාවරණය කරන සේවා ගැන කිසිවක් නොකියයි. TAP කොටසක සමකය එක් ලිපිනයක් පවා නොවේ, මන්ද පාලම ඉගෙන ගැනීමට සූදානම් ඕනෑම MAC එකක් සහ ඕනෑම IP එකක් එය ඉදිරිපත් කළ හැක. සත්‍යාපනය උමං මඟේ අන්තයේ නතර වේ, යෙදුමේ නොවේ.
ප්‍රශ්න තුන එකකට ඒකාබද්ධ කරනවා වෙනුවට වෙන් කරන්න. එක් එක් එකට තමන්ගේම යාන්ත්‍රණයක් සහ තමන්ගේම අසාර්ථක වීමේ ක්‍රමයක් ඇත.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
යෙදවීමකට සම්පූර්ණයෙන් සත්‍යාපිත උමං මඟක් සහ එහි පිටුපස සම්පූර්ණයෙන් අසත්‍යාපිත සේවාවක් තිබිය හැක. දෙවන ස්තරයේ ලිපිනය වෙනත් සමකයක් ඉල්ලා සිටින සත්කාරකයක් මත වලංගු කළ සහතිකයක් ද තිබිය හැක, එබැවින් එකක් අනෙක වෙනුවට නොව දෙකම නියමුවේ තිබිය යුතුය. වගුව තුන් පේළියක සම්පූර්ණ තර්කයයි.
හවුල් කොටසක ARP යනු නාමාවලියක් නොවේ
ARP ස්ථානීය සබැඳියේ IPv4 ලිපිනයක් MAC එකකට සිතියම් කරන අතර එම සබැඳියේ ඕනෑම කෙනෙකුගෙන් පිළිතුරු පිළිගනී. අවසර දෙන පාලම් කළ කොටසක සමකයකට වෙනත් උපාංගයකට අයත් ලිපිනයක් ඉල්ලා සිටිය හැක, පාලම රාමු අවසානයේ පිළිතුරු දුන් අයට යවයි. සේවාදායකයට යන සෑම සේවාලාභී මාර්ගයක්ම සංකේතනය කිරීම එය වෙනස් නොකරයි, මන්ද රාමු පාලමට ළඟා වීමට පෙර විකේතනය වේ. ARP හි විශ්වාස මායිම උමං මඟ නොව කොටසයි.
සත්කාරකය ඇත්තටම ඉගෙන ගත් දේ බලන්න: ip neigh show වත්මන් සිතියම් සහ ඒවායේ තත්ත්වය ලැයිස්තුගත කරයි, සාමාන්‍ය ක්‍රියාකාරිත්වයේදී MAC ලිපින දෙකක් අතර මාරු වන සටහන නොසලකා හැරීම වෙනුවට විමර්ශනය කළ යුතු ලක්ෂණයකි. සෞඛ්‍ය සම්පන්න කුඩා කොටසක එවැනි සටහන් දිගු කලක් ස්ථාවරව පවතී.
සමක හුදකලා කිරීම සහ පාලම් ප්‍රතිපත්තිය හරියටම මෙම අවස්ථාව සඳහාය. සේවාව IP පමණක් වන අතර උපාංගවලට එකිනෙකාගේ රාමු බැලීමට කිසිදු හේතුවක් නොමැති විට, මාර්ගගත නිර්මාණය සාමාන්‍යයෙන් වඩා හොඳ පිළිතුරයි.
සහතික සත්‍යාපනය සේවාව ඇති තැනම තබන්න
යෙදුමේ TLS උමං මඟට දිය නොහැකි ප්‍රශ්නයට පිළිතුරු දෙයි: මට ළඟා වීමට අවශ්‍ය වූයේ මෙම සේවාවද. බ්‍රවුසරය සත්කාරක නාමය සහතිකයට එරෙහිව පරීක්ෂා කරයි, එම පරීක්ෂාව පමණක් දාමයේ සමකය නොව ද්වාරය නම් කරන එකම කොටසයි.
අනතුරු ඇඟවීම පමණක් පෙනුමේ ගැටලුවක් යැයි තීරණය කිරීමට පෙර සේවාදායකය ඉදිරිපත් කරන දේ පරීක්ෂා කරන්න. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal දාමය සහ විෂයයේ විකල්ප නාම මුද්‍රණය කරයි. ඔබ ටයිප් කළ නාමය එම ලැයිස්තුවේ නොමැති නම් අනතුරු ඇඟවීම නිවැරදි වන අතර නිවැරදි කළ යුත්තේ සහතිකයයි. පරිශීලකයන්ට එය මඟ හැරීමට උගන්වා ඇති ක්‍රියාකාරී පාලනයක් අලංකරණයක් බවට පත් කරයි.
OpenVPN පාලම්කරණ මාර්ගෝපදේශය Ethernet ආකෘතිය සහ ඒ වටා ඇති ප්‍රතිපත්ති විකල්ප විස්තර කරයි, සහ කොටසට අවසර දිය යුතු දේ සඳහා එය නිවැරදි යොමුවයි. පාලම් නියමය ලිහිල් කිරීමට පෙර එය කියවන්න, මන්ද එය විස්තර කරන ආකෘතිය ඉහත සෑම පරීක්ෂාවක්ම උපකල්පනය කරයි.
එම සමකයන් කොටසක් බෙදා ගත යුතුදැයි තීරණය කරන්න
අවශ්‍යතාවය IP ළඟාවීම පමණක් විට දෙවන ස්තරය බෙදා ගැනීම නැවැත්වීම සාමාන්‍යයෙන් ලාභම විසඳුමයි. මාර්ගගත VPN එකක් සෑම සේවාලාභියෙකුටම තමන්ගේම ලිපිනයක් ලබා දෙයි, හවුල් විකාශන වසම ඉවත් කරයි, සහ සමකයන් අතර ගමන් බිමන් පෙරනිමිය වෙනුවට ප්‍රතිපත්ති තීරණයක් බවට පත් කරයි. එවිට ද්වාරයට ආරක්ෂා කිරීමට එක් ලිපිනයක් ඇති අතර එය ඉල්ලා සිටිය හැකි අසල්වැසියෙක් නොමැත.
කොටස රැඳී සිටිය යුතු නම්, සේවාලාභීන්ට එකිනෙකාට ළඟා වීමට ඉඩ දෙන සේවාදායක පැත්තේ සැකසුම පරීක්ෂා කරන්න: grep -n client-to-client /etc/openvpn/server.conf. එය අක්‍රීය විට සේවාලාභී ගමන් බිමන් සේවාදායකය හරහා ගොස් එහි පෙරහන් කළ හැක. එය සක්‍රීය විට සමකයන් පාලම හරහා සෘජුවම රාමු හුවමාරු කර ගනී, ඔබේ පෙරහන් ලක්ෂ්‍ය වන්නේ පාලම සහ සත්කාරක ගිනි පවුරයි.
සෑම සත්කාරකයක්ම ඇත්තටම රඳා පවතින්නේ කුමන ආරක්ෂාවන් මතදැයි ලියන්න: උමං මඟ සත්‍යාපනය, කොටස හුදකලා කිරීම හෝ යෙදුම් TLS. තුනටම රඳා පවතින සත්කාරකය හොඳයි. පළමු එකට රඳා පවතිමින් අනෙක් දෙක එය සමඟ පැමිණි යැයි උපකල්පනය කරන සත්කාරකය අවසානයේ වැරදි අන්තර්ගතය පිරිනමන සත්කාරකයයි.