Pse një VPN TAP e përbashkët ka ende nevojë për HTTPS në portal
Një VPN TAP vërteton homologun, jo shërbimin pas tij. Mbani validimin e emrit të hostit në portal dhe izoloni fqinjët që nuk i besoni.
Dy pajisje kanë kredenciale VPN të vlefshme dhe ndajnë një segment të vetëm Ethernet të urëzuar. Vetëm njëra prej tyre duhet të përgjigjet për portalin e zyrës, dhe tjetra ende mund të kërkojë adresën e portalit në atë segment. Tuneli bëri punën e tij: vërtetoi të dy homologët dhe enkriptoi çdo rrugë drejt serverit. Ajo që nuk bëri ishte të certifikonte se cila prej tyre zotëron një emër shërbimi, dhe pikërisht kjo boshllëk është arsyeja pse portali ka ende nevojë për një certifikatë të vlefshme.
Çfarë vërteton në të vërtetë VPN-i
Shtrëngimi i duarve i VPN-it përgjigjet një pyetjeje: cili homolog përfundoi këtë tunel, dhe me çfarë materiali kyç. Kjo përgjigje është për çdo homolog dhe çdo lidhje, dhe nuk thotë asgjë për shërbimet që ai homolog ekspozon më pas. Në një segment TAP homologii nuk është as një adresë e vetme, sepse mund të paraqesë çdo MAC dhe çdo IP që ura është e gatshme të mësojë. Vërtetimi ndalon në pikën fundore të tunelit, jo në aplikacion.
Ndani tre pyetjet në vend që t'i shkrinë ato në një. Secila ka mekanizmin e vet dhe mënyrën e vet të dështimit.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Një vendosje mund të ketë një tunel të vërtetuar në mënyrë të përsosur dhe një shërbim plotësisht të pavërtetuar pas tij. Mund të ketë gjithashtu një certifikatë të validuar në një host, adresa e shtresës së dytë të të cilit kërkohet nga një homolog tjetër, dhe për këtë arsye të dy kontrollet i përkasin projektimit dhe jo njëra zëvendëson tjetrën. Tabela është i gjithë argumenti në tre rreshta.
ARP në një segment të përbashkët nuk është drejtori
ARP lidh një adresë IPv4 me një MAC në lidhjen lokale dhe pranon përgjigje nga kushdo në atë lidhje. Në një segment të urëzuar lejues, një homolog mund të kërkojë një adresë që i përket një pajisjeje tjetër, dhe ura i përcjell kuadrot atij që u përgjigj i fundit. Enkriptimi i çdo rruge të klientit drejt serverit nuk e ndryshon këtë, sepse kuadrot dekriptohen përpara se të arrijnë në urë. Kufiri i besimit i ARP është segmenti, jo tuneli.
Shikoni çfarë mësoi në të vërtetë host-i: ip neigh show liston lidhjet aktuale dhe gjendjen e tyre, dhe një zë që ndërron midis dy adresave MAC gjatë funksionimit normal është një simptom që meriton hetim dhe jo shpërfillje. Në një segment të vogël të shëndetshëm ato zëra mbeten të qëndrueshëm për një kohë të gjatë.
Izolimi i homologëve dhe politika e urës ekzistojnë pikërisht për këtë rast. Një projekt i rrugëzuar është zakonisht përgjigja më e mirë kur shërbimi është vetëm IP dhe pajisjet nuk kanë asnjë arsye të shohin kuadrot e njëra-tjetrës.
Mbani validimin e certifikatës aty ku është shërbimi
TLS-i i aplikacionit përgjigjet pyetjes që tuneli nuk mundet: a është ky shërbimi ku doja të arrinte. Shfletuesi kontrollon emrin e hostit kundrejt certifikatës, dhe ai kontroll është e vetmja pjesë e zinxhirit që emërton portalin dhe jo homologun.
Shqyrtoni çfarë paraqet serveri përpara se të vendosni se paralajmërimi është kozmetik. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal shtyp zinxhirin dhe emrat alternativë të subjektit. Nëse emri që shtypët nuk është në atë listë, paralajmërimi është i saktë dhe certifikata është ajo që duhet rregulluar. T'u mësosh përdoruesve ta anashkalojnë e kthen një kontroll funksional në dekor.
Udhëzuesi i urëzimit të OpenVPN përshkruan modelin Ethernet dhe opsionet e politikës rreth tij, dhe është referenca e duhur për atë që segmenti duhet të lejojë. Lexojeni përpara se të lironi një rregull ure, sepse modeli që përshkruan është ai që supozon çdo kontroll më sipër.
Vendosni nëse ata homologë duhet të ndajnë fare një segment
Rregullimi më i lirë është zakonisht ndalimi i ndarjes së shtresës së dytë kur kërkesa është vetëm arritshmëria IP. Një VPN i rrugëzuar i jep çdo klienti adresën e vet, heq domenin e transmetimit të përbashkët dhe e kthen trafikun midis homologëve në një vendim politike në vend të një vlere të paracaktuar. Atëherë portali ka një adresë për të mbrojtur dhe asnjë fqinj që mund ta kërkojë.
Nëse segmenti duhet të mbetet, kontrolloni cilësimin në anën e serverit që u lejon klientëve të arrijnë njëri-tjetrin: grep -n client-to-client /etc/openvpn/server.conf. Kur është i çaktivizuar, trafiku i klientëve kalon përmes serverit dhe mund të filtrohet atje. Kur është i aktivizuar, homologët shkëmbejnë kuadro drejtpërdrejt përmes urës, dhe pikat tuaja të filtrimit janë ura dhe muri i zjarrit i host-it.
Shkruani se në cilat mbrojtje mbështetet në të vërtetë çdo host: vërtetimi i tunelit, izolimi i segmentit ose TLS-i i aplikacionit. Një host që mbështetet në të tre është në rregull. Një host që mbështetet në të parin dhe supozon se dy të tjerët erdhën me të është ai që përfundon duke shërbyer përmbajtjen e gabuar.