Zdieľaný účet VPN: limit zariadení nie je izolácia klientov

Osem súbežných pripojení je číslo z licenčnej stránky a nehovorí nič o tom, čo si tých osem zariadení môže navzájom urobiť. Zdieľané prihlásenie môže existovať popri kľúčoch pre každú reláciu a tiež popri bráne, ktorá rada preposiela prevádzku jedného klienta druhému. Chybou je považovať účet za bezpečnostnú hranicu. Namiesto toho položte štyri oddelené otázky: čo sa kúpilo, čo chráni tunel, čo smie prechádzať medzi peermi a čo môže zhodiť miestne spojenie.

Čo povolenie pripojení skutočne sľubuje

Limit zariadení počíta, koľko relácií poskytovateľ prijme na jedno predplatné. Je to obchodná a prevádzková kontrola, nie vyhlásenie o identite alebo izolácii. Niektorí poskytovatelia vydávajú samostatný certifikát pre každé zariadenie pod jedným účtom; iní znova používajú jeden údaj pre každé pripojenie. Rozdiel sa ukáže pri odvolaní, pretože samostatné údaje vám umožnia odrezať jedno zariadenie, kým zdieľané vám takú možnosť nedá.

Prečítajte si, ako poskytovateľ vydáva údaje, skôr než budete čokoľvek predpokladať o oddelení kľúčov. Samotný názov účtu o tom nič nehovorí.

Skontrolujte, či brána preposiela medzi klientmi

Dostupnosť medzi peermi je rozhodnutie na strane servera. V OpenVPN príslušný prepínač chýba, ak sa neobjaví v konfigurácii, ale moderné odkladanie dátovej roviny mení, kde sa pravidlo presadzuje.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfigurácia bez tejto direktívy necháva prevádzku medzi peermi na hostiteľskom firewalle, ktorý ju stále môže povoliť. Keď je odkladanie aktívne, tunelové rozhranie obsluhuje jadro namiesto procesu v používateľskom priestore, preto overujte počítadlá pravidiel, namiesto toho, aby ste dôverovali súboru. Blokovanie preposielanej prevádzky medzi adresami tunela izoluje klientov bez toho, aby sa dotklo ich prístupu k bráne. Potvrďte to sondou z jedného klienta k službe na druhom, a to pred pravidlom aj po ňom.

Chráňte reláciu skôr než peery

Ochrana tunela a prístup medzi peermi sú rôzne vlastnosti a silná šifra neznamená izoláciu. V režime TLS si každý klient odvodzuje vlastné relácie kľúčov, takže jeden klient nemôže čítať prevádzku druhého, aj keď ju brána preposiela. Staré usporiadanie so statickým kľúčom zdieľa jediný kľúč medzi všetkými, a preto má opätovné použitie prihlásenia tam oveľa horšie následky. Preskúmajte nastavený režim, nie marketingovú stránku, a potom posúďte, či zdieľanie účtu zodpovedá dotknutým údajom.

Overovanie služby na každom hostiteľovi je stále dôležité, pretože tunel dokazuje len to, že klient dosiahol sieť, nie že má dosiahnuť konkrétneho démona.

Miestne výpadky Wi-Fi nie sú kompromitovaním VPN

Spadnuté pripojenie dokazuje, že zlyhalo miestne spojenie, nie že niekto prelomil tunel. Rušenie, stratený nájom DHCP a odovzdanie pri roamingu ukončia reláciu bez toho, aby sa dotkli údajov alebo šifrovaného textu. Odpojenie berte ako zistenie o dostupnosti a držte ho oddelene od zistení o dôvernosti a prístupe medzi peermi. Tam, kde miestna sieť nie je dôveryhodná, chráňte prevádzku od konca po koniec, namiesto toho, aby ste sa spoliehali len na tunel.

Zapíšte si štyri odpovede: povolenie, model kľúčov, politiku voči peerom a závislosť od miestneho spojenia. Tento záznam mení hmlistú obavu zo zdieľaného účtu na konkrétne opatrenia.