Javni Wi-Fi in VPN: česa tunel ne pokriva

Zelena značka, zadovoljen portal, delujoč brskalnik: to je cela vidna zgodba. Značka zamolči, da šifrirano povezavo nosi prav tista brezžična povezava, pred katero naj bi vas ščitila. Ta povezava še vedno dostavi vsak paket, še vedno vidi naslov cilja in še vedno odloči, ali bo sploh kaj prispelo. Ogled strani prenosnika v hotelski povezavi pokaže, katere dele tunel pokriva in katere prepušča vam.

Dostopna povezava nosi vse

Tunel IPsec ESP ovije zaščiten notranji paket v zunanjo glavo, ki jo omrežje lahko usmerja, in RFC 4303 razdelek 3.1.2 pojasnjuje to delitev. Notranji paket je tisto, kar tunel ščiti. Zunanjo glavo bere hotspot, da ga posreduje naprej. Druge zasnove inkapsulirajo drugače, a načrtovalsko vprašanje je enako: katera dostopna pot nosi to povezavo?

Odpoved prehoda ali povezava, ki izgublja pakete, ustavi dostavo, ne da bi razkrila vsebino. Prehod na močnejšo šifro pri tem ne pomaga, ker manjka transport, ne kriptografija. Uspešna dostava v nasprotni smeri dokaže prav tako malo, saj delujoča pot ne pove ničesar o stanju nobenega od dveh strojev.

Vaš prenosnik ima še vedno svoja vrata

Pridružitev nezaupljivemu segmentu spremeni, kdo lahko doseže vrata, na katerih posluša vaš stroj. Storitev za souporabo datotek, agent za oddaljeno upravljanje ali razvojni strežnik, vezan na vse vmesnike, je dosegljiv vsakomur v tem segmentu, razen če ga kaj ustavi. Promet, ki nikoli ne vstopi v tunel, z njim ni zaščiten. Poslušalec, ki odgovori, preden je tunel vzpostavljen, je izpostavljen natanko v tistem oknu.

Zahteva je ozka in vredna natančne formulacije: prenosnik mora doseči končno točko VPN, nepovezane naprave na hotspotu pa ne smejo doseči lokalnih storitev. Pravila gostiteljske požarne pregrade izražajo to mejo, in del tega izražajo tudi lastne nastavitve souporabe platforme. Tiskalnik ali korak portala je omejena izjema, ki jo dodate namerno, ne dokaz, da si celoten hotspot zasluži zaupanje pisarniškega LAN.

Nekatere organizacije omejujejo tudi lokalni dostop, dokler je delovna povezava aktivna, kar je politika, ne inženirstvo. Preberite to politiko, preden izklopite požarno pregrade, da bo periferna naprava delovala.

Preverite, kaj v resnici posluša

Poglejte vtičnice, ne strani z nastavitvami, ker stran opisuje namen, tabela vtičnic pa stroj. Spodnja seznama ločita vsako poslušajočo vtičnico od tistih, do katerih bi lahko prišel sosed. Zaženite ju v nezaupljivem segmentu, preden priklopite tunel.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Prvi ukaz pokaže vsako vtičnico, drugi pa filtrira tiste, vezane onkraj loopbacka. Storitev na 0.0.0.0 ali :: je na voljo na vsakem vmesniku, tudi brezžičnem, medtem ko ista storitev na 127.0.0.1 s segmenta sploh ni dosegljiva. Poizvedba pri razreševalniku potrdi, katero pot vzame ime, preden tunel obstaja, in tam se vmešajo ujeti portali. Seznam po priklopu ponovite, ker nekateri odjemalci dvignejo vmesnike, ki spremenijo odgovor.

Vrata, ki se pojavijo le, ko je tunel vzpostavljen, so manj izpostavljena, čeprav je o njih še vedno vredno vedeti. Zabeležite razliko, ne absolutnega seznama, ker je delta tisto, kar je tunel dodal.

Sredi seje ne sprejmite nove identitete

Nepričakovana sprememba poti, ponovna povezava ali preusmeritev portala niso dovoljenje za sprejem druge identitete strežnika. Če odjemalec poroča o neskladju potrdila ali ključa, to obravnavajte kot ugotovitev o identiteti, ne kot povezljivost, ki bi se ji izognili. Namestitev nerazloženega korenskega potrdila, da bi portal deloval, spremeni težavo dostave v težavo zaupanja. In težava zaupanja nato preživi potovanje, ki jo je ustvarilo.

Uporabite lasten potek brskalnika portala, nato znova povežite tunel in v dnevniku odjemalca preberite, katero identiteto je preveril. Neuspeh identitete pomeni, da druga stran ni tista, ki ste jo pričakovali, medtem ko neuspeh dostave pomeni, da druga stran ni nikoli odgovorila. Prvo je razlog za ustavitev, drugo pa razlog za poskus druge poti.

Najprej odločite o vedenju ob izpadu

Tu se zamešata dve različni funkciji. Ponovno povezovanje poskuša obnoviti storitev, medtem ko blokirna politika nadzira, kateri promet je dovoljen, dokler je tunel mrtev. Nobeno ne zagotavlja delujoče brezžične povezave in nobeno ne dokazuje, da je končna točka čista. Izberite izrecno: zaprta odpoved za aplikacije, ki nikoli ne smejo uporabljati lokalne poti, in dovolite običajno brskanje zunaj tunela, če je to sprejemljivo.

Zapišite izbiro, ker privzeta vrednost pri večini odjemalcev ni nobena od obeh in se razlikuje glede na različico. Nato pripravite nadomestno dostopno pot, če je pomembna razpoložljivost, na primer telefonski hotspot z lastnim podatkovnim paketom. Sprejemljiv sprejemni test ima tri ločene izide: predvideni promet uporablja preverjeni tunel, nepovezani lokalni poslušalci niso dosegljivi in izpad ustvari vedenje, ki ste ga izbrali.