Заједнички VPN налог: ограничење уређаја није изолација клијената

Осам истовремених веза је број са странице лиценце и не говори ништа о томе шта тих осам уређаја могу да учине један другом. Заједничка пријава може да постоји уз кључеве по сесији, а може и уз пролаз који радо прослеђује саобраћај једног клијента другом. Грешка је третирати налог као безбедносну границу. Уместо тога поставите четири одвојена питања: шта је купљено, шта штити тунел, шта сме да прелази између партнера и шта може да обори локалну везу.

Шта дозвола за везе заправо обећава

Ограничење уређаја броји колико ће сесија пружалац прихватити за једну претплату. То је комерцијална и оперативна контрола, а не изјава о идентитету или изолацији. Неки пружаоци издају посебан сертификат за сваки уређај под једним налогом; други изнова користе један акредитив за сваку везу. Разлика се види при опозиву, јер одвојени акредитиви омогућавају да одсечете један уређај, а заједнички вам не остављају ту могућност.

Прочитајте како пружалац издаје акредитиве пре него што претпоставите било шта о раздвајању кључева. Сам назив налога не открива ништа од тога.

Проверите да ли пролаз прослеђује између клијената

Доступност између партнера је одлука на страни сервера. На OpenVPN одговарајући прекидач изостаје осим ако се појави у конфигурацији, али савремено растерећење податковне равни мења где се правило примењује.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Конфигурација без те директиве оставља саобраћај између партнера хост заштитном зиду, који га ипак може дозволити. Када је растерећење активно, тунелским интерфејсом управља језгро уместо процеса у корисничком простору, зато проверите бројаче правила уместо да верујете датотеци. Блокирање прослеђеног саобраћаја између адреса тунела изолује клијенте не дирајући њихов приступ пролазу. Потврдите то сондом са једног клијента ка услузи на другом, и пре и после правила.

Заштитите сесију пре партнера

Заштита тунела и приступ партнера су различита својства, а јака шифра не значи изолацију. У TLS режиму сваки клијент изводи сопствене кључеве сесије, па један клијент не може да чита саобраћај другог чак и када га пролаз прослеђује. Стари распоред са статичким кључем дели један кључ међу свима, зато поновна употреба пријаве тамо има много горе последице. Прегледајте конфигурисани режим, а не маркетиншку страницу, па процените да ли дељење налога одговара дотичним подацима.

Аутентикација услуге на сваком хосту и даље је важна, јер тунел доказује само да је клијент стигао до мреже, не да треба да стигне до одређеног демона.

Локални Wi-Fi кварови нису компромитовање VPN-а

Прекинута веза доказује да је локална карика отоказала, а не да је неко разбио тунел. Сметње, изгубљен DHCP закуп и прелаз при роумингу прекидају сесију не дирајући акредитиве ни шифровани текст. Третирајте прекид као налаз о доступности и држите га одвојено од налаза о поверљивости и приступу партнера. Где локална мрежа није поуздана, штитите саобраћај од краја до краја уместо да се ослањате само на тунел.

Запишите четири одговора: дозвола, модел кључева, политика према партнерима и зависност од локалне везе. Тај запис претвара нејасну бригу о заједничком налогу у конкретне контроле.