Јавни Wi-Fi и VPN: шта тунел не покрива

Зелена значка, задовољан портал, прегледач који ради: то је цела видљива прича. Значка прећуткује да шифровану везу носи управо она бежична веза од које треба да вас заштити. Та веза и даље доставља сваки пакет, и даље види адресу одредишта и и даље одлучује да ли ће ишта уопште стићи. Преглед рачунарске стране хотелске везе показује које делове тунел покрива, а које оставља вама.

Приступна веза носи све

IPsec ESP тунел умотава заштићени унутрашњи пакет у спољни заглавље које мрежа може да усмери, а RFC 4303 одељак 3.1.2 објашњава ту поделу. Унутрашњи пакет је оно што тунел штити. Спољно заглавље је оно што хотспот чита да би га проследио. Други дизајни инкапсулирају другачије, али питање планирања је исто: која приступна путања носи ову везу?

Отказ гејтвеја или веза која губи пакете зауставља доставу без откривања садржаја. Прелазак на јачу шифру ту не помаже, јер део који недостаје је транспорт, а не криптографија. Успешна достава исто тако мало доказује у другом смеру, јер радна путања не говори ништа о стању ниједног од два рачунара.

Ваш лаптоп и даље има своја врата

Придруживање непоузданом сегменту мења ко може да дође до портова које ваш рачунар слуша. Услуга дељења датотека, агент за даљинску администрацију или развојни сервер везан за сва сучеља доступан је свакоме на том сегменту, осим ако га нешто не заустави. Саобраћај који никада не уђе у тунел није њиме заштићен. Слушалац који одговори пре него што се тунел подигне изложен је тачно за тај прозор.

Захтев је узак и вреди га тачно изрећи: лаптоп мора да дође до VPN одредишта, а неповезани уређаји на хотспоту не смеју да дођу до локалних услуга. Правила хост фајервола изражавају ту границу, а и сопствена подешавања дељења платформе изражавају део ње. Штампач или корак портала је ограничена изнимка коју свесно додајете, а не доказ да цео хотспот заслужује поверење канцеларијске LAN мреже.

Неке организације такође ограничавају локални приступ док је радна веза активна, што је политика, а не инжењерство. Прочитајте ту политику пре него што искључите фајервол да би периферни уређај прорадио.

Проверите шта заправо слуша

Гледајте сокете, а не страницу са подешавањима, јер страница описује намеру, а табела сокета описује рачунар. Две листе испод одвајају сваки сокет који слуша од оних до којих комшија може да дође. Покрените их на непоузданом сегменту пре повезивања тунела.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Прва команда приказује сваки сокет, а друга филтрира оне везане изван loopback-а. Услуга на 0.0.0.0 или :: доступна је на сваком сучељу, укључујући бежично, док иста услуга на 127.0.0.1 уопште није доступна са сегмента. Упит разрешивача потврђује којом путањом име иде пре него што тунел постоји, и ту се умешају заробљени портали. Поновите листу након повезивања, јер неки клијенти подижу сучеља која мењају одговор.

Порт који се појављује само док је тунел подигнут мање је изложен, иако је о њему и даље вредно знати. Забележите разлику, а не апсолутну листу, јер је делта оно што је тунел додао.

Не прихватајте нови идентитет усред сесије

Неочекивана промена руте, поновно повезивање или преусмеравање портала нису дозвола за прихватање другог идентитета сервера. Ако клијент пријави неспагање сертификата или кључа, третирајте то као налаз о идентитету, а не као повезаност коју треба заобићи. Инсталирање необјашњеног кореновог сертификата да би портал прорадио претвара проблем доставе у проблем поверења. А проблем поверења затим надживи путовање које га је створило.

Користите сопствени ток прегледача портала, затим поново повежите тунел и прочитајте у клијентском дневнику који је идентитет проверио. Неуспех идентитета значи да друга страна није она коју сте очекивали, док неуспех доставе значи да друга страна никада није одговорила. Прво је разлог да станете, а друго разлог да покушате другу путању.

Прво одлучите понашање при прекиду

Овде се мешају две различите функције. Поновно повезивање покушава да врати услугу, док политика блокирања контролише који је саобраћај дозвољен док је тунел пао. Ниједно не даје радну бежичну везу, и ниједно не доказује да је одредиште чисто. Изаберите експлицитно: затворени неуспех за апликације које никада не смеју да користе локалну путању, и дозволите обично прегледање изван тунела ако је то прихватљиво.

Запишите избор, јер подразумевана вредност у већини клијената није ниједно од тога и варира по верзији. Затим уредите алтернативну приступну путању ако је доступност важна, попут телефонског хотспота са сопственим планом података. Прихватљив тест прихватања има три одвојена исхода: намеравани саобраћај користи проверени тунел, неповезани локални слушаоци су недоступни, а прекид производи понашање које сте изабрали.