Wi-Fi publik dhe VPN: çfarë nuk mbulon tuneli

Distinktiv i gjelbër, portal i kënaqur, shfletues që funksionon: kjo është e gjithë historia e dukshme. Ajo që distinktivi lë jashtë është se lidhja e kriptuar transportohet pikërisht nga lidhja pa tela nga e cila duhet t'ju mbrojë. Ajo lidhje ende dërgon çdo paketë, ende sheh adresën e destinacionit dhe ende vendos nëse diçka arrin fare. Kalimi nëpër anën e laptopit të një lidhjeje hoteli tregon cilat pjesë mbulon tuneli dhe cilat t'i lë juve.

Lidhja e aksesit mbart gjithçka

Një tunel IPsec ESP e mbështjell një paketë të brendshme të mbrojtur në një kokë të jashtme që rrjeti mund ta rrugëtojë, dhe RFC 4303 seksioni 3.1.2 shpjegon atë ndarje. Paketa e brendshme është ajo që mbron tuneli. Koka e jashtme është ajo që lexon hotspot-i për ta përcjellë. Dizenjot e tjera inkapsulojnë ndryshe, por pyetja e planifikimit është e njëjtë: cila rrugë aksesi e mbart këtë lidhje?

Një dështim i portës ose një lidhje që hedh paketa ndalon dorëzimin pa zbuluar përmbajtjen. Kalimi në një shifër më të fortë nuk ndihmon për këtë, sepse pjesa që mungon është transporti, jo kriptografia. Një dorëzim i suksesshëm provon po aq pak në drejtimin tjetër, pasi një rrugë që funksionon nuk thotë asgjë për gjendjen e asnjërës prej dy makinave.

Laptopi juaj ende ka dyert e veta

Bashkimi me një segment jo të besueshëm ndryshon kush mund të arrijë portat ku dëgjon makina juaj. Një shërbim shkëmbimi skedarësh, një agjent administrimi në distancë ose një server zhvillimi i lidhur me të gjitha ndërfaqet është i arritshëm nga kushdo në atë segment, përveç nëse diçka e ndalon. Trafiku që nuk hyn kurrë në tunel nuk mbrohet prej tij. Një dëgjues që përgjigjet para se tuneli të ngrihet është i ekspozuar pikërisht për atë dritare.

Kërkesa është e ngushtë dhe meriton të formulohet saktësisht: laptopi duhet të arrijë pikën terminale të VPN, dhe pajisjet e palidhura në hotspot nuk duhet të arrijnë shërbimet lokale. Rregullat e murit të zjarrit të pritësit shprehin atë kufi, dhe vetë cilësimet e ndarjes së platformës shprehin gjithashtu një pjesë të tij. Një printer ose një hap i portalit është një përjashtim i kufizuar që e shtoni me qëllim, jo provë që i gjithë hotspot-i meriton besimin e një LAN-i zyre.

Disa organizata kufizojnë gjithashtu aksesin lokal sa kohë një lidhje pune është aktive, dhe kjo është politikë, jo inxhinieri. Lexoni atë politikë përpara se të çaktivizoni një mur zjarri për të bërë të funksionojë një pajisje periferike.

Kontrolloni çfarë po dëgjon vërtet

Shikoni sockets dhe jo faqen e cilësimeve, sepse faqja përshkruan qëllimin dhe tabela e socket-ëve përshkruan makinën. Dy listat më poshtë ndajnë çdo socket dëgjues nga ato që një fqinj mund të arrinte. Ekzekutojini në segmentin jo të besueshëm përpara se të lidhni tunelin.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Komanda e parë tregon çdo socket, dhe e dyta filtron ato të lidhura përtej loopback. Një shërbim në 0.0.0.0 ose :: është i disponueshëm në çdo ndërfaqe, përfshirë atë pa tela, ndërsa i njëjti shërbim në 127.0.0.1 nuk arrihet fare nga segmenti. Kërkesa e zgjidhësit konfirmon cilën rrugë merr emri para se të ekzistojë tuneli, dhe pikërisht aty ndërhyjnë portalet e zëna. Përsëritni listën pas lidhjes, sepse disa klientë ngrenë ndërfaqe që ndryshojnë përgjigjen.

Një port që shfaqet vetëm sa kohë tuneli është lart është më pak i ekspozuar, megjithëse ia vlen të dihet. Shënoni ndryshimin dhe jo listën absolute, pasi delta është ajo që shtoi tuneli.

Mos pranoni një identitet të re në mes të sesionit

Një ndryshim i papritur i rrugës, një rilidhje ose një ridrejtim i portalit nuk janë leje për të pranuar një identitet tjetër serveri. Nëse klienti raporton mospërputhje certifikate ose çelësi, trajtojeni si gjetje identiteti dhe jo si lidhshmëri që duhet anashkaluar. Instalimi i një certifikate rrënjë të pashpjeguar për të bërë të funksionojë një portal e kthen një problem dorëzimi në problem besimi. Pastaj problemi i besimit i mbijeton udhëtimit që e krijoi.

Përdorni rrjedhën e shfletuesit të vetë portalit, pastaj rilidhni tunelin dhe lexoni në regjistrin e klientit identitetin që verifikoi. Dështimi i identitetit do të thotë që pala tjetër nuk është ajo që prisnit, ndërsa dështimi i dorëzimit do të thotë që pala tjetër nuk u përgjigj kurrë. I pari është arsye për të ndaluar, dhe i dyti arsye për të provuar një rrugë tjetër.

Vendosni fillimisht sjelljen në rast ndërprerjeje

Këtu ngatërrohen dy funksione të ndryshme. Rilidhja përpiqet të rivendosë shërbimin, ndërsa një politikë bllokimi kontrollon cili trafik lejohet sa kohë tuneli është jashtë. Asnjëra nuk ofron një lidhje pa tela që funksionon, dhe asnjëra nuk provon që pika terminale është e pastër. Zgjidhni në mënyrë eksplicite: dështim i mbyllur për aplikacionet që nuk duhet të përdorin kurrë rrugën lokale, dhe lejoni shfletimin e zakonshëm jashtë tunelit nëse kjo është e pranueshme.

Shënoni zgjedhjen, sepse parazgjedhja në shumicën e klientëve nuk është asnjëra prej tyre, dhe ndryshon sipas versionit. Më pas përgatitni një rrugë alternative aksesi nëse disponueshmëria ka rëndësi, si një hotspot telefoni me planin e vet të të dhënave. Një test pranimi i pranueshëm ka tre rezultate të ndara: trafiku i synuar përdor tunelin e verifikuar, dëgjuesit lokalë të palidhur janë të paarritshëm, dhe një ndërprerje prodhon sjelljen që zgjidhët.