Prečo zdieľaná TAP VPN stále potrebuje HTTPS na portáli
TAP VPN overuje partnera, nie službu za ním. Ponechajte overovanie názvu hostiteľa na portáli a izolujte susedov, ktorým nedôverujete.
Dve zariadenia majú platné prihlasovacie údaje VPN a zdieľajú jeden premosťovaný ethernetový segment. Len jedno z nich by malo odpovedať za kancelársky portál a druhé môže na tomto segmente stále nárokovať adresu portálu. Tunel urobil svoju prácu: overil oba partnery a zašifroval každú cestu k serveru. Čo neurobil, bolo potvrdenie, ktoré z nich vlastní názov služby, a práve kvôli tejto medzere portál stále potrebuje platný certifikát.
Čo VPN vlastne overuje
Handshake VPN odpovedá na jednu otázku: ktorý partner dokončil tento tunel a s akým kľúčovým materiálom. Táto odpoveď platí pre každého partnera a každé spojenie a nehovorí nič o službách, ktoré partner potom vystavuje. V segmente TAP nie je partner ani jedna adresa, pretože môže predložiť akúkoľvek MAC a akúkoľvek IP, ktorú je most ochotný sa naučiť. Overovanie sa zastaví na konci tunela, nie v aplikácii.
Oddeľte tri otázky, namiesto toho aby ste ich zlievali do jednej. Každá má svoj mechanizmus a svoj spôsob zlyhania.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Nasadenie môže mať dokonale overený tunel a úplne neoverenú službu za ním. Môže mať aj validovaný certifikát na hostiteľovi, ktorého adresu druhej vrstvy si nárokuje iný partner, a preto do návrhu patria obe kontroly, nie jedna namiesto druhej. Tabuľka je celý argument v troch riadkoch.
ARP v zdieľanom segmente nie je adresár
ARP priraďuje adresu IPv4 k MAC na miestnom spoji a prijíma odpovede od kohokoľvek na tomto spoji. V benevolentnom premosťovanom segmente si partner môže nárokovať adresu patriacu inému zariadeniu a most preposiela rámce tomu, kto odpovedal naposledy. Šifrovanie každej cesty klienta k serveru to nemení, pretože rámce sa dešifrujú skôr, než dorazia do mosta. Hranica dôvery ARP je segment, nie tunel.
Pozrite sa, čo sa hostiteľ skutočne naučil: ip neigh show vypisuje aktuálne priradenia a ich stav a záznam, ktorý počas bežnej prevádzky prepína medzi dvoma MAC adresami, je príznak, ktorý si zaslúži vyšetrenie, nie prehliadnutie. V zdravom malom segmente takéto záznamy zostávajú dlho stabilné.
Izolácia partnerov a politika mosta existujú presne pre tento prípad. Smerovaný návrh je zvyčajne lepšia odpoveď, keď je služba iba IP a zariadenia nemajú žiadny dôvod vidieť navzájom svoje rámce.
Nechajte overovanie certifikátu tam, kde je služba
TLS aplikácie odpovedá na otázku, ktorú tunel nedokáže: je to služba, ku ktorej som chcel prísť. Prehliadač porovnáva názov hostiteľa s certifikátom a táto kontrola je jediná časť reťazca, ktorá pomenúva portál, a nie partnera.
Preskúmajte, čo server predkladá, skôr než rozhodnete, že varovanie je kozmetické. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal vypíše reťazec a alternatívne názvy subjektu. Ak zadaný názov v tomto zozname chýba, varovanie je správne a opraviť treba certifikát. Učiť používateľov, aby ho odklikávali, mení funkčnú kontrolu na dekoráciu.
Sprievodca premosťovaním OpenVPN opisuje ethernetový model a možnosti politiky okolo neho a je správnym zdrojom toho, čo má segment umožňovať. Prečítajte si ho pred uvoľnením pravidla mosta, pretože model, ktorý opisuje, predpokladá každá kontrola vyššie.
Rozhodnite, či majú títo partneri vôbec zdieľať segment
Najlacnejšia oprava zvyčajne je prestať zdieľať druhú vrstvu, keď je požiadavkou iba dostupnosť IP. Smerovaná VPN dáva každému klientovi vlastnú adresu, odstraňuje zdieľanú broadcastovú doménu a mení prevádzku medzi partnermi na politické rozhodnutie namiesto predvoleného nastavenia. Portál potom má jednu adresu na ochranu a žiadnych susedov, ktorí by si ju mohli nárokovať.
Ak segment musí zostať, skontrolujte nastavenie na strane servera, ktoré klientom umožňuje dosiahnuť sa navzájom: grep -n client-to-client /etc/openvpn/server.conf. Keď je vypnuté, klientska prevádzka prechádza cez server a možno ju tam filtrovať. Keď je zapnuté, partneri si vymieňajú rámce priamo cez most a vašimi filtračnými bodmi sú most a firewall hostiteľa.
Zapíšte, na aké ochrany sa každý hostiteľ skutočne spolieha: overenie tunela, izolácia segmentu alebo TLS aplikácie. Hostiteľ, ktorý sa spolieha na všetky tri, je v poriadku. Hostiteľ, ktorý sa spolieha na prvú a predpokladá, že ďalšie dve prišli s ňou, je ten, kto nakoniec servíruje nesprávny obsah.