Një hyrje VPN në një PC të përbashkët: kush tjetër merr rrugën?
Një hyrje VPN vërteton një person; rruga që instalon është një shtrirje tjetër. Krahasoni tunelet për të gjithë hostin, për përdorues dhe për aplikacion në një makinë të përbashkët.
Ndarja e një stacioni pune ngre një pyetje të cilës një laptop me një përdorues nuk duhet t'i përgjigjet kurrë: pasi një person vërteton tunelin, kush tjetër mund ta përdorë? Hyrja identifikon një subjekt, dhe rruga që instalon përshkruan një shtrirje, dhe këto dy gjëra nuk janë i njëjti objekt. Midis tyre qëndrojnë sistemi operativ, konfigurimi i klientit dhe ajo që shërbimi privat kërkon vetë. Krahasimi i pikave të zbardhjes është mënyra e vetme për t'iu përgjigjur pyetjes pa hamendësuar.
Një hyrje, disa shtrirje
Vërtetimi përgjigjet se kush u pranua. Rruga përgjigjet se cilat paketa mund të dalin përmes tunelit. Autorizimi përgjigjet se cili shërbim do të pranojë lidhjen që rezulton, dhe asnjëra nga të tre nuk nënkupton tjetrën.
Një tunel për të gjithë hostin është parazgjedhja e zakonshme dhe e bën hendekun të dukshëm. Rruga qëndron në tabelën e kernelit, kështu që çdo proces që e përdor atë tabelë mund të arrijë rrjetin privat, përfshirë një të nisur nga një përdorues që nuk e ka parë kurrë dritaren VPN. Ky nuk është defekt i tunelit; ky është kuptimi i një rruge në nivel sistemi. Shërbimi privat gjithsesi mund ta refuzojë lidhjen, prandaj arritshmëria dhe leja kanë nevojë për përgjigje të ndara.
Shkrimi i katër pyetjeve para testimit e pengon rishikimin të reduktohet në njërën prej tyre.
Ku ndodhet në të vërtetë kufiri
Katër rregullime mbulojnë shumicën e makinave: një tunel për të gjithë hostin, një lidhje për përdorues, një listë lejimesh për aplikacion dhe një hapësirë emrash rrjeti ose makinë virtuale të veçantë.
Secila e vendos pikën e zbardhjes diku tjetër, dhe dallimet kanë më shumë rëndësi sesa etiketat. Lidhja për përdorues zbatohet nga lejet e profilit, jo nga ekrani i hyrjes së desktopit. Lista e lejimeve për aplikacion zbatohet brenda klientit, i cili vendos se çfarë do të mbajë. Hapësira e emrave ose VM zbaton në kufirin e ndërfaqes, kështu që një proces brenda nuk e sheh fare rrugën e hostit. Numri i ekraneve të hyrjes në makinë nuk thotë asgjë për asnjërën prej tyre.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Leximi i tabelës rresht për rresht tregon se pyetja e vërtetë nuk është nëse ekziston izolim, por ku është zbatuar.
Krahasoni katër pika zbardhjeje
Në Linux tabela e rrugëve është gjëja e parë për t'u inspektuar, sepse një tunel për të gjithë hostin shfaqet atje dhe një hapësirë emrash jo. Ekzekutimi i kërkimit si përdoruesi i dytë është hapi që njerëzit e anashkalojnë; përgjigja ndryshon nga ajo që morën si vetvetja, dhe kjo e shpjegon raportin.
Dy kontrollet e radhës shikojnë politikën, jo rrugëzimin. Një rregull muri zjarri që përputhet me një UID zbatohet për trafikun e krijuar lokalisht, kështu që mund të ndajë dy përdorues në një host edhe kur të dy ndajnë rrugën. Një profil lidhjeje me listë të qartë lejimesh zbatohet nga menaxheri i rrjetit në aktivizim. Asnjëra kontrolle nuk kërkon ndryshim të tunelit, prandaj ia vlen të bëhen para çdo ridizenjimi.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidNëse kërkimi i dytë tregon rrugën e tunelit, kufiri nuk është aty ku supozoi dizajni.
Rregullat e sesioneve të njëkohshme janë kontroll i veçantë
Portat shpesh kufizojnë sa sesione mund të mbajë një llogari, dhe ai kufi nuk ka lidhje me përdoruesit lokalë. Ai kufizon llogarinë, kështu që një person i dytë që hyn me të njëjtat kredenciale mund të përfundojë tunelin e personit të parë.
Lexoni dështimin përpara se të supozoni një problem lokal izolimi. Një kufi sesionesh prodhon një shkëputje në portë, ndërsa një problem shtrirjeje prodhon një tunel që funksionon por thjesht nuk mban trafikun e përdoruesit tjetër. Këto dy simptoma çojnë në rregullime krejt të ndryshme. Ruani mesazhin e saktë të klientit, sepse zakonisht emërton rregullin. Kërkoni nga pronari i profilit rrjedhën e punës të miratuar në vend që të anashkaloni kufirin.
Një makinë virtuale nuk e përjashton askënd nga ai rregull dhe shton dizajnin e vet të rrjetit dhe të kredencialeve.
Testoni kontekstin që ju intereson
Testoni përdoruesin dhe aplikacionin e synuar, më pas testoni një kontekst që duhet të refuzohet. Një rishikim që vërteton vetëm se fjalëkalimi origjinal funksionon ka testuar vërtetimin dhe asgjë tjetër.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Shënoni pikën e zbardhjes pranë çdo rezultati: tabelën e rrugëve, një rregull UID, një leje profili ose politikën e sesioneve të portës. Ai regjistrim e bën të verifikueshme ndryshimin e radhës. Gjithashtu pengon rihapjen e të njëjtës pyetje sa herë që dikush vëren një ekran të dytë hyrjeje. Arritshmëria nuk është autorizim, dhe asnjëra prej të dyjave nuk është izolim.