Verejná Wi-Fi a VPN: čo tunel nepokrýva

Zelený odznak, spokojný portál, fungujúci prehliadač: to je celý viditeľný príbeh. Odznak zamlčuje, že šifrované spojenie nesie práve to bezdrôtové spojenie, pred ktorým vás má chrániť. To spojenie stále doručuje každý paket, stále vidí adresu cieľa a stále rozhoduje, či vôbec niečo dorazí. Pohľad na stranu notebooku v hotelovom pripojení ukáže, ktoré časti tunel pokrýva a ktoré necháva na vás.

Prístupové spojenie nesie všetko

Tunel IPsec ESP zabalí chránený vnútorný paket do vonkajšej hlavičky, ktorú sieť dokáže smerovať, a RFC 4303 oddiel 3.1.2 tento rozdiel opisuje. Vnútorný paket je to, čo tunel chráni. Vonkajšiu hlavičku číta hotspot, aby ho poslal ďalej. Iné návrhy zapuzdrujú inak, ale plánovacia otázka je rovnaká: ktorá prístupová cesta nesie toto spojenie?

Zlyhanie brány alebo spoj, ktorý zahadzuje pakety, zastaví doručenie bez odhalenia obsahu. Prechod na silnejšiu šifru s tým nič neurobí, pretože chýbajúcou časťou je doprava, nie kryptografia. Úspešné doručenie dokazuje v opačnom smere rovnako málo, keďže funkčná cesta nehovorí nič o stave ani jedného z dvoch strojov.

Váš notebook má stále vlastné dvere

Pripojenie k nedôveryhodnému segmentu mení, kto sa dostane na porty, na ktorých váš stroj počúva. Služba zdieľania súborov, agent vzdialenej správy alebo vývojový server viazaný na všetky rozhrania je dostupný komukoľvek v tomto segmente, ak ho niečo nezastaví. Prevádzka, ktorá nikdy nevstúpi do tunela, ním chránená nie je. Počúvajúci, ktorý odpovie skôr, než je tunel hore, je vystavený presne na to okno.

Požiadavka je úzka a stojí za presnú formuláciu: notebook musí dosiahnuť koncový bod VPN a nesúvisiace zariadenia na hotspote nesmú dosiahnuť miestne služby. Pravidlá hostiteľského firewallu túto hranicu vyjadrujú, a časť z nej vyjadruje aj vlastné nastavenie zdieľania platformy. Tlačiareň alebo krok portálu je obmedzená výnimka, ktorú pridávate zámerne, nie dôkaz, že celý hotspot si zaslúži dôveru kancelárskej LAN.

Niektoré organizácie obmedzujú aj miestny prístup, kým je aktívne pracovné spojenie, čo je politika, nie inžinierstvo. Prečítajte si túto politiku, než vypnete firewall, aby periféria fungovala.

Skontrolujte, čo skutočne počúva

Pozerajte sa na sockety, nie na stránku nastavení, pretože stránka opisuje zámer a tabuľka socketov opisuje stroj. Dva zoznamy nižšie oddeľujú každý počúvajúci socket od tých, na ktoré by sa sused mohol dostať. Spustite ich v nedôveryhodnom segmente pred pripojením tunela.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Prvý príkaz zobrazí každý socket, druhý filtruje tie viazané mimo loopback. Služba na 0.0.0.0 alebo :: je dostupná na každom rozhraní, vrátane bezdrôtového, zatiaľ čo tá istá služba na 127.0.0.1 nie je zo segmentu vôbec dostupná. Dopyt na resolver potvrdzuje, ktorou cestou ide meno pred vznikom tunela, a práve tam zasahujú captive portály. Zoznam po pripojení zopakujte, pretože niektorí klienti zdvíhajú rozhrania, ktoré odpoveď menia.

Port, ktorý sa objaví iba pri bežiacom tuneli, je menej vystavený, hoci je o ňom stále dobré vedieť. Zaznamenajte rozdiel, nie absolútny zoznam, pretože delta je to, čo tunel pridal.

Neprijímajte novú identitu uprostred relácie

Neočakávaná zmena trasy, opätovné pripojenie alebo presmerovanie portálu nie sú povolením prijať inú identitu servera. Ak klient hlási nezhodu certifikátu alebo kľúča, berte to ako zistenie o identite, nie ako konektivitu, ktorú treba obísť. Inštalácia nevysvetleného koreňového certifikátu, aby portál fungoval, mení problém doručenia na problém dôvery. A problém dôvery potom prežije cestu, ktorá ho vytvorila.

Použite vlastný tok prehliadača portálu, potom tunel znova pripojte a v klientskom protokole prečítajte, ktorú identitu overil. Zlyhanie identity znamená, že protistrana nie je tá, ktorú ste čakali, zatiaľ čo zlyhanie doručenia znamená, že protistrana nikdy neodpovedala. Prvé je dôvod zastaviť, druhé je dôvod skúsiť inú cestu.

Najprv rozhodnite správanie pri výpadku

Zamieňajú sa tu dve rôzne funkcie. Opätovné pripájanie sa snaží obnoviť službu, zatiaľ čo blokovacia politika riadi, aká prevádzka je povolená, kým je tunel dole. Ani jedno neposkytuje funkčné bezdrôtové spojenie a ani jedno nedokazuje, že koncový bod je čistý. Zvoľte výslovne: uzavreté zlyhanie pre aplikácie, ktoré nikdy nesmú použiť miestnu cestu, a povolenie bežného prehliadania mimo tunela, ak je to prijateľné.

Zapíšte voľbu, pretože predvolená hodnota vo väčšine klientov nie je ani jedna a líši sa podľa verzie. Potom pripravte alternatívnu prístupovú cestu, ak záleží na dostupnosti, napríklad telefónny hotspot s vlastným dátovým plánom. Prijateľný akceptačný test má tri oddelené výsledky: zamýšľaná prevádzka používa overený tunel, nesúvisiaci miestni počúvajúci sú nedostupní a výpadok vyvolá správanie, ktoré ste zvolili.