Llogari VPN e përbashkët: kufiri i pajisjeve nuk është izolim i klientëve

Tetë lidhje të njëkohshme është një numër nga një faqe licence, dhe nuk thotë asgjë për atë që këto tetë pajisje mund t'i bëjnë njëra-tjetrës. Një hyrje e përbashkët mund të bashkëjetojë me çelësa për secilën sesion, dhe mund të bashkëjetojë edhe me një portë që përcjell me kënaqësi trafikun e një klienti te tjetri. Gabimi është ta trajtosh llogarinë si kufi sigurie. Në vend të kësaj bëj katër pyetje të veçanta: çfarë u ble, çfarë mbron tunelin, çfarë mund të kalojë mes partnerëve, dhe çfarë mund ta rrëzojë lidhjen lokale.

Çfarë premton në të vërtetë një leje lidhjesh

Kufiri i pajisjeve numëron sa sesione do të pranojë ofruesi për një abonim. Është një kontroll tregtar dhe operativ, jo një deklaratë për identitetin ose izolimin. Disa ofrues lëshojnë një certifikatë të veçantë për çdo pajisje nën një llogari; të tjerët ripërdorin një kredencial të vetme në çdo lidhje. Diferenca shfaqet në revokim, sepse kredencialet e veçanta të lejojnë të presësh një pajisje, ndërsa një e përbashkët nuk ta lë atë mundësi.

Lexo si i lëshon ofruesi kredencialet përpara se të supozosh gjë për ndarjen e çelësave. Vetë emri i llogarisë nuk zbulon asgjë prej kësaj.

Kontrollo nëse porta përcjell mes klientëve

Arritshmëria mes partnerëve është vendim në anën e serverit. Në OpenVPN çelësi përkatës mungon nëse nuk shfaqet në konfigurim, por shkarkimi modern i rrafshit të të dhënave ndryshon vendin ku zbatohet rregulli.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Një konfigurim pa atë direktivë e lë trafikun mes partnerëve te muri i zjarrit i hostit, i cili mund ta lejojë ende. Kur shkarkimi është aktiv, ndërfaqen e tunelit e trajton kerneli në vend të procesit në hapësirën e përdoruesit, prandaj verifiko numëruesit e rregullave në vend që t'i besosh skedarit. Bllokimi i trafikut të përcjellë mes adresave të tunelit i izolon klientët pa prekur aksesin e tyre te porta. Konfirmoje me një provë nga një klient te një shërbim në tjetrin, si përpara ashtu edhe pas rregullit.

Mbro sesionin përpara partnerëve

Mbrojtja e tunelit dhe aksesi mes partnerëve janë veti të ndryshme, dhe një shifër e fortë nuk nënkupton izolim. Në modalitetin TLS secili klient nxjerr çelësat e vetë sesionit, kështu që një klient nuk mund të lexojë trafikun e tjetrit edhe kur porta e përcjell. Rregullimi i vjetër me çelës statik ndan një çelës të vetëm mes të gjithëve, prandaj ripërdorimi i një hyrjeje atje ka pasoja shumë më të këqija. Shqyrto modalitetin e konfiguruar dhe jo faqen e marketingut, pastaj gjyko nëse ndarja e llogarisë i përshtatet të dhënave në fjalë.

Vërtetimi i shërbimit në çdo host vazhdon të ketë rëndësi, sepse tuneli dëshmon vetëm se një klient arriti rrjetin, jo se duhet të arrijë një daemon të caktuar.

Dështimet lokale të Wi-Fi nuk janë kompromentim i VPN

Një lidhje e ndërprerë dëshmon se lidhja lokale dështoi, jo se dikush theu tunelin. Ndërhyrjet, një qira DHCP e humbur dhe një kalim gjatë roamingut i japin fund një sesioni pa prekur kredencialet ose tekstin e shifruar. Trajto shkëputjen si një gjetje disponueshmërie dhe mbaje të ndarë nga gjetjet për konfidencialitetin dhe aksesin mes partnerëve. Aty ku rrjeti lokal nuk është i besueshëm, mbro trafikun nga fillimi në fund në vend që të mbështetesh vetëm te tuneli.

Shkruaj katër përgjigjet: leja, modeli i çelësave, politika ndaj partnerëve dhe varësia nga lidhja lokale. Ai shënim e kthen shqetësimin e paqartë për një llogari të përbashkët në kontrolle konkrete.