Zakaj deljeni TAP VPN še vedno potrebuje HTTPS na portalu
TAP VPN overi sopotnika, ne storitve za njim. Ohranite preverjanje imena gostitelja na portalu in izolirajte sosede, ki jim ne zaupate.
Dve napravi imata veljavne poverilnice VPN in si delita en mostni segment Ethernet. Le ena od njiju bi morala odgovarjati za pisarniški portal, druga pa lahko še vedno zahteva naslov portala v tem segmentu. Tunel je opravil svoje delo: overil je oba sopotnika in šifriral vsako pot do strežnika. Česar ni storil, je potrditev, katera od njiju ima ime storitve, in prav ta vrzel je razlog, da portal še vedno potrebuje veljavno potrdilo.
Kaj VPN v resnici overi
Rokovanje VPN odgovarja na eno vprašanje: kateri sopotnik je dokončal ta tunel in s katerim ključnim gradivom. Ta odgovor velja za vsakega sopotnika in vsako povezavo ter ne pove ničesar o storitvah, ki jih ta sopotnik nato izpostavi. V segmentu TAP sopotnik ni niti en naslov, ker lahko predstavi kateri koli MAC in kateri koli IP, ki se ga je most pripravljen naučiti. Overjanje se ustavi na koncu tunela, ne v aplikaciji.
Ločite tri vprašanja, namesto da jih zlijete v eno. Vsako ima svoj mehanizem in svoj način odpovedi.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Uvedba ima lahko popolnoma overjen tunel in povsem neoverjeno storitev za njim. Lahko ima tudi validirano potrdilo na gostitelju, katerega naslov drugega sloja zahteva drug sopotnik, zato v zasnovo sodita oba nadzora, ne eden namesto drugega. Tabela je celoten argument v treh vrsticah.
ARP v deljenem segmentu ni imenik
ARP preslika naslov IPv4 v MAC na lokalni povezavi in sprejema odgovore od kogar koli na tej povezavi. V popustljivem mostnem segmentu lahko sopotnik zahteva naslov, ki pripada drugi napravi, most pa posreduje okvire tistemu, ki je odgovoril nazadnje. Šifriranje vsake poti odjemalca do strežnika tega ne spremeni, ker se okviri dešifrirajo, preden dosežejo most. Meja zaupanja ARP je segment, ne tunel.
Poglejte, česa se je gostitelj v resnici naučil: ip neigh show izpiše trenutne preslikave in njihovo stanje, vnos, ki med običajnim delovanjem preklaplja med dvema naslovoma MAC, pa je simptom, ki si zasluži preiskavo, ne prezrtje. V zdravem majhnem segmentu takšni vnosi ostanejo dolgo stabilni.
Izolacija sopotnikov in politika mosta obstajata prav za ta primer. Usmerjena zasnova je običajno boljši odgovor, ko je storitev samo IP in naprave nimajo nobenega razloga, da bi videle okvire druga druge.
Ohranite preverjanje potrdila tam, kjer je storitev
TLS aplikacije odgovarja na vprašanje, ki ga tunel ne more: je to storitev, do katere sem hotel priti. Brskalnik preveri ime gostitelja glede na potrdilo, in to preverjanje je edini del verige, ki imenuje portal in ne sopotnika.
Preglejte, kaj strežnik predstavi, preden ugotovite, da je opozorilo kozmetično. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal izpiše verigo in alternativna imena subjekta. Če vnesenega imena ni na tem seznamu, je opozorilo pravilno in popraviti je treba potrdilo. Učenje uporabnikov, naj ga preskočijo, spremeni delujoč nadzor v dekoracijo.
Vodnik za mostenje OpenVPN opisuje model Ethernet in možnosti politike okoli njega ter je pravi vir za to, kaj naj segment dovoli. Preberite ga, preden popustite pravilo mosta, ker model, ki ga opisuje, predpostavlja vsako preverjanje zgoraj.
Odločite, ali naj si ti sopotniki sploh delijo segment
Najcenejša rešitev je običajno prenehati deliti drugi sloj, ko je zahteva le dosegljivost IP. Usmerjeni VPN da vsakemu odjemalcu lasten naslov, odstrani deljeno domeno oddajanja in spremeni promet med sopotniki v politično odločitev namesto privzete vrednosti. Portal ima nato en naslov za zaščito in nobenih sosedov, ki bi ga lahko zahtevali.
Če mora segment ostati, preverite nastavitev na strani strežnika, ki odjemalcem omogoča, da dosežejo drug drugega: grep -n client-to-client /etc/openvpn/server.conf. Ko je onemogočena, promet odjemalcev poteka skozi strežnik in ga je mogoče filtrirati tam. Ko je omogočena, sopotniki izmenjujejo okvire neposredno prek mosta, vaše točke filtriranja pa so most in požarni zid gostitelja.
Zapišite, na katere zaščite se vsak gostitelj v resnici zanaša: overjanje tunela, izolacija segmenta ali TLS aplikacije. Gostitelj, ki se zanaša na vse tri, je v redu. Gostitelj, ki se zanaša na prvo in predpostavlja, da sta drugi dve prišli z njo, je tisti, ki na koncu streže napačno vsebino.