VPN aan la aaminin waa saddex xad oo kala duwan, ma aha mid

«Ma aamini karo VPN-kan» badanaa waa saddex odhaah oo hal jumlad qaba. Asaagga fog ee shabakaddaas waxay gaari karaan adeegyada martigeliyahaaga, hawlwadeenka tunnelta maamula wuxuu arki karaa gaadiidka dhex mara, iyo software-ka macmiilka ee aad rakibtay wuxuu beddeli karaa siyaasadda shabakadda mashiinkaaga. Aaminsanaanta mudan in la saxo waa in qaanuun derbi dab, mashiin macmal ah ama doorasho taxaddar leh oo nidaamka hawlgalka ay ka jawaabaan saddexda oo dhan. Tallaab kastaa waxay ka jawaabtaa mid ka mid ah si sax ah.

Halyeey: hal kontorool ayaa daboola khatarta oo dhan

Male-awaalka caadiga ah waa in ku biirista shabakad aan la aaminin ay tahay hal go'aan oo leh hal yareyn. Dadku waxay doortaan kontoroolka ay hore u aamini jireen, way dabaqaan, oo waxay u arkaan khatarta in la dhammeeyay: derbiga dabku wuu shidan yahay, goobta shaqadu waa mid hal mar la isticmaalo, macmiilku wuxuu ka yimid iibiyaha sumcad leh.

Kontorooladaani iskuma dulmaaraan sida male-awaalku tilmaamayo. Derbiga dab ee martigeliyaha wuxuu xaddidaa waxa asaagga fog gaari karo, waxbana kama qabto hawlwadeen joojinaya TLS-kaaga. Mashiinka macmal ah wuxuu goobta shaqada ka soocaa faylalka martigeliyahaaga, waxbana kama qabto qaybta macmiilka ee loo oggolaaday inuu dib u habeyn ku sameeyo lakabka shabakadda labada hoostooda. Magacaabista xadka uu kontorool kastaa dhab ahaan abuuro waa tababarka oo dhan.

Kala soociddoodu waxay sidoo kale kuu sheegaysaa khatarta aad dooratay inaad aqbasho. Go'aannada dhabta ah intooda badani waxay yareeyaan hal xad oo ay u adkaysanayaan mid kale, taasna way fiican tahay ilaa diiwaanka isbeddelku sheego kee kee yahay.

Waxa asaagga fog dhab ahaan gaari karo

Ka bilow adeegyada dhageysanaya. Isku-xirka tunnelta ee loo arko mid si ballaaran loo aaminay sababtoo ah baakadihiisu waxay yimaadeen iyagoo sir ah waa khaladka caadiga ah, wuxuuna dhageyste kasta oo maxalli ah ka dhigaa bartilmaameed suurtagal ah qof kasta oo kale oo shabakaddaas ku jira. Sir-gelintu waxay ilaalisaa xarigga u dhexeeya laba daraf; waxna kama sheegto ujeeddada asaagga dhinaca kale.

ss -tulpn
sudo nft list ruleset
ip -br addr

Adeegyada ku xir ciwaanka ay u baahan yihiin halkii aad ku xiri lahayd isku-xir kasta, oo ogolow kaliya hawlgallada shaqada la ansixiyay ay doonayso. Ka dhig mid cad gudbinta, buundada iyo wakiilka codsiyada, sababtoo ah laba xiriir oo shabadeed ma abuuraan dariiqa gudbinta laftooda, laakiin qaanuunka wakiilku wuu abuuri karaa.

Goob shaqo hal mar la isticmaalo oo la ansixiyay waxay yareysaa waxa shabakadda fog gaari karto, laakiin kaliya marka qaabeynta wadaagisteedu la socoto sheegashada. Galalka la wadaago, isdhexgalka sabuuradda, wakiillada aqoonsiga iyo kanaallada maamulka dhammaantood waxay ka gudbaan xadka goobta shaqadu ahayd inay abuurto. Calaamadda goobta shaqadu waxba kama caddaynayso midka ka mid ah furan yahay.

Qaab-dhismeedka kalsoonida eber ee NIST wuxuu sheegaa mabda'a ka dambeeya waxan oo dhan: goobta shabakaddu kaligeed ma bixiso kalsooni dahsoon. Xaqiijinta kheyraadka wali shaqo ayay leedahay ka dib marka tunnelta la ogolaado, sidoo kale su'aasha ku saabsan cidda kale wadaagta shabakaddaas.

Waxa hawlwadeenka jidka ku jira arki karo

VPN waxay gaadiidkaaga u rartaa meel kale oo jidka ah; ma ku darayso sir-gelin codsi. Haddii bixiyuhu joojiyo TLS-kaaga, bixiyuhu wuxuu akhrin karaa waxa browserkaagu haddii kale ilaalin lahaa, qaanuun derbi dab maxalli ahna ma beddelo taas.

Hayso xaqiijinta shahaadooyinka caadiga ah ee loogu talagalay meesha dhabta ah oo fahan dariiqa xalliyaha iyo xogta meta, sababtoo ah weydiinta DNS waxay muujin kartaa wax ka badan culeyska ka horreeya. Xogta meta oo kaliya, taas oo ah ciwaannada aad la xiriirtay iyo goorta, badanaa waxay ka jawaabtaa su'aasha hawlwadeenka iyada oo aan loo baahnayn akhrinta nuxurka. Taasi waa sababta «gaadiidku siran yahay» iyo «gaadiidku gaar yahay» ay yihiin sheegashooyin kala duwan.

Haddii aragtidaas aan laga aqbali karin shaqada, jawaabtu waa qaab-dhismeed kale oo la ansixiyay ee ma aha shaandhayn maxalli ah oo dheeraad ah. Shaandhaynta maxalliga ah ma saari karto goobjooge dariiqa uu wali ku fadhiyo.

Waxa macmiilka maxalliga ah uu beddeli karo

Kani waa xadka dadku seegaan, waana kan labada kale macno darro ka dhigaya. Linux, CAP_NET_ADMIN waxay daboolaa qaabeynta isku-xirka, maamulka derbi dab iyo isbeddellada dariiqa gudaha macnaha shabakadeeda. Software leh awooddaas wuxuu dib u qori karaa siyaasadda aad hadda qortay.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Meel magac shabadeedku waa xad dhab ah oo loogu talagalay xaaladda shabakadda iyo mid liita wax kasta oo kale: ma go'doomiso nidaamka faylalka ama bakhaarka aqoonsiga. U tixgeliso sida hal lakab ee ma aha weelka dhibaatada oo dhan.

Ka hel macmiilka iyo qaabeyntiisa il la ilaaliyo, dib u eeg awoodda uu codsanayo, oo hayso qaybaha mudnaanta leh iyagoo hoos imanaya kontoroolka maamulaha. Mashiin macmal ah wuxuu qayb ka noqon karaa xad qiimeyn u qalma isagoo aan noqonin fasax lagu socodsiiyo rakibaha aan la sharraxin agtiisa aqoonsiyo qiimo leh. Rakibahu wuxuu ku shaqeeyaa awood kasta oo aad siiso, awooddaasna waa xadka.

Qor xadka aad aqbashay

Ku dhammee jumlad sheegaysa afar shay: koodka maxalliga ah ee la aaminay, gelitaanka fog ee la ogolaaday, xogta codsiga ee la ilaaliyay iyo xiriirka hawlwadeenka ee hadhay. Jumladaas waxay ka qiimo badan tahay sheegashada guud ee ah in VM, nidaam hawlgale ama badeeco ka hortag faylal ay shabakad cadow ah ka dhigeen mid ammaan ah.

Kadib xaqiiji in hawlgalka cidhiidhi ah uu shaqeeyo iyo diidmada loo baahan yahay ay wali taagan tahay, xitaa ka dib marka tunneltu dhaco. Xadka jira oo kaliya inta tunneltu kor yahay ma aha xadka aad diiwaangelisay.

Ma jiro tijaabo caddaynaysa in dhammaan dayacannada maqan yihiin, iyo dib u eegis sheegaysa waxa ka soo horjeeda waa buunbuuni. Natiijada daacadda ah waxay magacaabaysaa khatarta hadhay iyo qofka aqbalay.