Kwa nini VPN TAP inayoshirikiwa bado inahitaji HTTPS kwenye lango

Vifaa viwili vina vitambulisho halali vya VPN na vinashiriki sehemu moja ya Ethernet iliyofungwa daraja. Kimoja tu kati yao kinapaswa kujibu kwa niaba ya lango la ofisi, na kingine bado kinaweza kudai anwani ya lango kwenye sehemu hiyo. Handaki ilifanya kazi yake: ilithibitisha wenzi wote wawili na kusimba kila njia kuelekea seva. Kilichokosa ni kuthibitisha ni yupi kati yao anamiliki jina la huduma, na pengo hilo ndilo sababu lango bado linahitaji cheti halali.

VPN huthibitisha nini kwa hakika

Kupeana mkono kwa VPN hujibu swali moja: ni mwenza gani alikamilisha handaki hili, na kwa nyenzo gani ya ufunguo. Jibu hilo ni kwa kila mwenza na kila muunganisho, na halisemi chochote kuhusu huduma ambazo mwenza huyo hufichua baadaye. Kwenye sehemu ya TAP mwenza hata si anwani moja, kwa sababu anaweza kuwasilisha MAC yoyote na IP yoyote ambayo daraja liko tayari kuifunza. Uthibitishaji huishia mwisho wa handaki, si kwenye programu.

Tenganisha maswali matatu badala ya kuyaunganisha kuwa moja. Kila moja lina utaratibu wake na njia yake ya kushindwa.

Uwekaji unaweza kuwa na handaki iliyothibitishwa kikamilifu na huduma isiyothibitishwa kabisa nyuma yake. Unaweza pia kuwa na cheti kilichothibitishwa kwenye mwenyeji ambaye anwani yake ya tabaka la pili inadaiwa na mwenza mwingine, na ndiyo sababu vidhibiti vyote viwili vinapaswa kuwa katika muundo badala ya kimoja kuchukua nafasi ya kingine. Jedwali ndilo hoja yote katika mistari mitatu.

ARP kwenye sehemu inayoshirikiwa si saraka

ARP huunganisha anwani ya IPv4 na MAC kwenye kiungo cha ndani na hukubali majibu kutoka kwa yeyote kwenye kiungo hicho. Kwenye sehemu yenye daraja linaloruhusu, mwenza anaweza kudai anwani inayomilikiwa na kifaa kingine, na daraja hupeleka fremu kwa yule aliyejibu mwisho. Kusimba kila njia ya mteja kuelekea seva hakubadilishi hilo, kwa sababu fremu husimbuliwa kabla ya kufika darajani. Mpaka wa uaminifu wa ARP ni sehemu, si handaki.

Angalia kile mwenyeji alichojifunza kwa hakika: ip neigh show huorodhesha ramani za sasa na hali zake, na ingizo linalobadilika kati ya anwani mbili za MAC wakati wa operesheni ya kawaida ni dalili inayostahili kuchunguzwa badala ya kupuuzwa. Kwenye sehemu ndogo yenye afya maingizo kama hayo hubaki thabiti kwa muda mrefu.

Utengano wa wenzi na sera ya daraja vipo kwa ajili ya kesi hii hasa. Muundo ulioelekezwa kwa njia kwa kawaida ni jibu bora wakati huduma ni IP pekee na vifaa havina sababu yoyote ya kuona fremu za kila mmoja.

Weka uthibitishaji wa cheti mahali huduma ilipo

TLS ya programu hujibu swali ambalo handaki haliwezi: hii ndiyo huduma niliyotaka kuifikia. Kivinjari hukagua jina la mwenyeji dhidi ya cheti, na ukaguzi huo ndio sehemu pekee ya mnyororo inayotaja lango badala ya mwenza.

Chunguza kile seva inawasilisha kabla ya kuamua kwamba onyo ni la sura tu. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal huchapisha mnyororo na majina mbadala ya somo. Ikiwa jina uliloandika halipo kwenye orodha hiyo, onyo ni sahihi na cheti ndicho kinachohitaji kurekebishwa. Kuwafundisha watumiaji kuipita hubadilisha udhibiti unaofanya kazi kuwa mapambo.

Mwongozo wa daraja wa OpenVPN unaeleza muundo wa Ethernet na chaguo za sera zinazoizunguka, na ndiyo marejeleo sahihi kwa kile sehemu inapaswa kuruhusu. Isome kabla ya kulegeza kanuni ya daraja, kwa sababu muundo unaoelezwa ndio unaodhaniwa na kila ukaguzi hapo juu.

Amua kama wenzi hao wanapaswa kushiriki sehemu kabisa

Suluhisho la bei nafuu kwa kawaida ni kuacha kushiriki tabaka la pili wakati hitaji ni ufikikaji wa IP pekee. VPN iliyoelekezwa humpa kila mteja anwani yake mwenyewe, huondoa kikoa cha utangazaji kinachoshirikiwa na hufanya trafiki kati ya wenzi kuwa uamuzi wa sera badala ya chaguo-msingi. Wakati huo lango lina anwani moja ya kulinda na hakuna jirani anayeweza kuidai.

Ikiwa sehemu lazima ibaki, angalia mpangilio wa upande wa seva unaowaruhusu wateja kufikiana: grep -n client-to-client /etc/openvpn/server.conf. Ukiwa umezimwa, trafiki ya wateja hupitia seva na inaweza kuchujwa hapo. Ukiwa umewashwa, wenzi hubadilishana fremu moja kwa moja kupitia daraja, na sehemu zako za kuchuja ni daraja na ukuta wa moto wa mwenyeji.

Andika ni ulinzi gani kila mwenyeji anautegemea kwa hakika: uthibitishaji wa handaki, utengano wa sehemu au TLS ya programu. Mwenyeji anayetegemea yote matatu yuko sawa. Mwenyeji anayetegemea ya kwanza na kudhani kwamba mengine mawili yalikuja nayo ndiye anayeishia kutoa maudhui yasiyofaa.