Deljen račun VPN: omejitev naprav ni izolacija odjemalcev

Osem hkratnih povezav je številka s strani licence in ne pove nič o tem, kaj lahko teh osem naprav stori druga drugi. Skupna prijava lahko obstaja ob ključih na sejo in tudi ob prehodu, ki rad posreduje promet enega odjemalca drugemu. Napaka je obravnavati račun kot varnostno mejo. Namesto tega postavite štiri ločena vprašanja: kaj je bilo kupljeno, kaj ščiti predor, kaj sme prehajati med partnerji in kaj lahko podre lokalno povezavo.

Kaj dovoljenje za povezave v resnici obljublja

Omejitev naprav šteje, koliko sej bo ponudnik sprejel na eno naročnino. To je poslovni in operativni nadzor, ne izjava o identiteti ali izolaciji. Nekateri ponudniki izdajo ločeno potrdilo za vsako napravo pod enim računom; drugi znova uporabijo eno poverilnico za vsako povezavo. Razlika se pokaže pri preklicu, ker ločene poverilnice omogočajo odrezati eno napravo, deljena pa te možnosti ne pušča.

Preberite, kako ponudnik izdaja poverilnice, preden kar koli domnevate o ločevanju ključev. Ime računa samo ne razkrije ničesar od tega.

Preverite, ali prehod posreduje med odjemalci

Dosegljivost med partnerji je odločitev na strani strežnika. Pri OpenVPN ustreznega stikala ni, razen če je navedeno v konfiguraciji, a sodobno razbremenjevanje podatkovne ravnine spremeni, kje se pravilo uveljavlja.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Konfiguracija brez te direktive prepusti promet med partnerji gostiteljskemu požarnemu zidu, ki ga lahko še vedno dovoli. Ko je razbremenjevanje aktivno, predorovni vmesnik obdeluje jedro namesto procesa v uporabniškem prostoru, zato preverite števce pravil, namesto da bi zaupali datoteki. Blokiranje posredovanega prometa med naslovi predora izolira odjemalce, ne da bi se dotaknilo njihovega dostopa do prehoda. Potrdite s poskusom od enega odjemalca do storitve pri drugem, tako pred pravilom kot po njem.

Zaščitite sejo pred partnerji

Zaščita predora in dostop med partnerji sta različni lastnosti, močno šifriranje pa ne pomeni izolacije. V načinu TLS vsak odjemalec izpelje svoje sejne ključe, zato en odjemalec ne more brati prometa drugega, tudi ko ga prehod posreduje. Stara shema s statičnim ključem deli en ključ med vse, zato ima ponovna uporaba prijave tam veliko hujše posledice. Preglejte nastavljeni način, ne marketinške strani, in nato presodite, ali deljenje računa ustreza podatkom, ki so v igri.

Preverjanje storitve na vsakem gostitelju je še vedno pomembno, ker predor dokazuje le, da je odjemalec dosegel omrežje, ne da mora doseči določenega demona.

Lokalne okvare Wi-Fi niso kompromitiranje VPN

Prekinjena povezava dokazuje, da je lokalna povezava odpovedala, ne da je kdo vlomil v predor. Motnje, izgubljen najem DHCP in prehod pri gostovanju končajo sejo, ne da bi se dotaknili poverilnic ali šifriranega besedila. Odklop obravnavajte kot ugotovitev o razpoložljivosti in jo ločite od ugotovitev o zaupnosti in dostopu med partnerji. Kjer lokalno omrežje ni zanesljivo, zaščitite promet od konca do konca, namesto da bi se zanašali le na predor.

Zapišite štiri odgovore: dovoljenje, model ključev, politika do partnerjev in odvisnost od lokalne povezave. Ta zapis spremeni nejasno skrb zaradi deljenega računa v konkretne ukrepe.