பகிரப்பட்ட பிசியில் ஒரு VPN உள்நுழைவு: வழியை வேறு யார் பெறுகிறார்கள்?
VPN உள்நுழைவு ஒரு நபரை அங்கீகரிக்கிறது; அது நிறுவும் வழி வேறு அளவு. பகிரப்பட்ட இயந்திரத்தில் முழு ஹோஸ்ட், பயனர் மற்றும் பயன்பாட்டு சுரங்கங்களை ஒப்பிடுங்கள்.
பணிநிலையத்தைப் பகிர்வது ஒரு பயனர் மடிக்கணினி என்றும் பதிலளிக்க வேண்டியிராத கேள்வியை எழுப்புகிறது: ஒரு நபர் சுரங்கத்தை அங்கீகரித்த பிறகு வேறு யார் அதைப் பயன்படுத்தலாம்? உள்நுழைவு ஒரு பொருளை அடையாளம் காட்டுகிறது, நிறுவப்படும் வழி ஒரு எல்லையை விவரிக்கிறது, இவை இரண்டும் ஒரே பொருள் அல்ல. அவற்றுக்கு இடையே இயக்க முறைமை, வாடிக்கையாளர் உள்ளமைவு மற்றும் தனியார் சேவை தானே கோருவது உள்ளன. ஊகிக்காமல் பதிலளிக்க ஒரே வழி அமலாக்கப் புள்ளிகளை ஒப்பிடுவதே.
ஒரு உள்நுழைவு, பல எல்லைகள்
அங்கீகாரம் யாரை உள்ளே அனுமதித்தது என்பதைப் பதிலளிக்கிறது. வழி எந்தப் பொதிகைகள் சுரங்கத்தின் வழியே வெளியேறலாம் என்பதைப் பதிலளிக்கிறது. அனுமதி எந்தச் சேவை விளைவு இணைப்பை ஏற்கும் என்பதைப் பதிலளிக்கிறது, மூன்றில் எதுவும் அடுத்ததைக் குறிக்கவில்லை.
முழு ஹோஸ்ட் சுரங்கம் வழக்கமான இயல்புநிலை, அது இடைவெளியைத் தெளிவாக்குகிறது. வழி கர்னல் அட்டவணையில் உள்ளது, எனவே அந்த அட்டவணையைப் பயன்படுத்தும் ஒவ்வொரு செயல்முறையும் தனியார் வலையமைப்பை அடையலாம், VPN உரையாடலை என்றும் பார்க்காத பயனரால் தொடங்கப்பட்டதும் உட்பட. இது சுரங்கத்தின் குறைபாடு அல்ல; முழு அமைப்பு வழியின் பொருள் இதுவே. தனியார் சேவை இன்னும் இணைப்பை மறுக்கலாம், அதனால் அணுகல் மற்றும் அனுமதிக்கு தனித்தனி பதில்கள் தேவை.
சோதனைக்கு முன் நான்கு கேள்விகளை எழுதிவைத்தால் மதிப்பாய்வு அவற்றில் ஒன்றாகச் சுருங்காது.
எல்லை உண்மையில் எங்கே உள்ளது
நான்கு ஏற்பாடுகள் பெரும்பாலான இயந்திரங்களை உள்ளடக்குகின்றன: முழு ஹோஸ்ட் சுரங்கம், ஒரு பயனருக்கான இணைப்பு, ஒரு பயன்பாட்டிற்கான அனுமதிப் பட்டியல் மற்றும் தனி வலையமைப்புப் பெயர்வெளி அல்லது மெய்நிகர் இயந்திரம்.
ஒவ்வொன்றும் அமலாக்கப் புள்ளியை வேறு இடத்தில் வைக்கிறது, லேபிள்களை விட வேறுபாடுகள் முக்கியம். ஒரு பயனருக்கான இணைப்பு சுயவிவரத்தின் அனுமதிகளால் அமல்படுத்தப்படுகிறது, டெஸ்க்டாப் உள்நுழைவுத் திரையால் அல்ல. ஒரு பயன்பாட்டிற்கான அனுமதிப் பட்டியல் வாடிக்கையாளருக்குள் அமல்படுத்தப்படுகிறது, எதைச் சுமக்கும் என்பதை அதுவே தீர்மானிக்கிறது. பெயர்வெளி அல்லது VM இடைமுக எல்லையில் அமல்படுத்துகிறது, எனவே உள்ளேயுள்ள செயல்முறை ஹோஸ்ட்டின் வழியைக் காணவே முடியாது. இயந்திரத்தில் உள்ள உள்நுழைவுத் திரைகளின் எண்ணிக்கை அவற்றில் எதைப் பற்றியும் எதுவும் சொல்லவில்லை.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
அட்டவணையை வரி வரியாகப் படிப்பது உண்மையான கேள்வி தனிமை உள்ளதா என்பதல்ல, அது எங்கே செயல்படுத்தப்பட்டது என்பதே எனக் காட்டுகிறது.
நான்கு அமலாக்கப் புள்ளிகளை ஒப்பிடுங்கள்
Linux இல் வழி அட்டவணையே முதலில் பார்க்க வேண்டியது, ஏனெனில் முழு ஹோஸ்ட் சுரங்கம் அங்கே தெரிகிறது, பெயர்வெளி தெரியவில்லை. இரண்டாம் பயனராகத் தேடலை இயக்குவது மக்கள் தவிர்க்கும் படி; பதில் அவர்கள் தாமாகப் பெற்றதிலிருந்து வேறுபடுகிறது, அதுவே அறிக்கையை விளக்குகிறது.
அடுத்த இரண்டு சோதனைகள் வழிமாற்றத்தை விடக் கொள்கையைப் பார்க்கின்றன. UID உடன் பொருந்தும் ஃபயர்வால் விதி உள்ளூரில் உருவாக்கப்படும் போக்குவரத்துக்குப் பொருந்தும், எனவே இருவரும் வழியைப் பங்கிட்டாலும் ஒரே ஹோஸ்ட்டில் இரு பயனர்களைப் பிரிக்கலாம். வெளிப்படையான அனுமதிப் பட்டியலுடன் கூடிய இணைப்புச் சுயவிவரம் செயல்படுத்தும்போது வலையமைப்பு மேலாளரால் அமல்படுத்தப்படுகிறது. எந்தச் சோதனையும் சுரங்கத்தை மாற்ற வேண்டியதில்லை, எனவே எதையும் மறுவடிவமைக்கும் முன் இவற்றைச் செய்வது மதிப்புள்ளது.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidஇரண்டாம் தேடல் சுரங்கத்தின் வழியைக் காட்டினால், எல்லை வடிவமைப்பு கருதிய இடத்தில் இல்லை.
ஒரே நேர அமர்வு விதிகள் தனி கட்டுப்பாடு
நுழைவாயில்கள் பெரும்பாலும் ஒரு கணக்கு எத்தனை அமர்வுகளை வைத்திருக்கலாம் என்பதை வரம்பிடுகின்றன, அந்த வரம்புக்கு உள்ளூர் பயனர்களுடன் எந்தத் தொடர்பும் இல்லை. அது கணக்கை வரம்பிடுகிறது, எனவே அதே சான்றுகளுடன் உள்நுழையும் இரண்டாம் நபர் முதல் நபரின் சுரங்கத்தை முடிக்கலாம்.
உள்ளூர் தனிமைப் பிரச்சினை எனக் கருதும் முன் தோல்வியைப் படியுங்கள். அமர்வு வரம்பு நுழைவாயிலில் இணைப்புத் துண்டிப்பை உருவாக்குகிறது, அளவுப் பிரச்சினை வேலை செய்யும் ஆனால் மற்ற பயனரின் போக்குவரத்தைச் சுமக்காத சுரங்கத்தை உருவாக்குகிறது. இந்த இரு அறிகுறிகளும் முற்றிலும் வேறுபட்ட திருத்தங்களுக்கு இட்டுச் செல்கின்றன. வாடிக்கையாளரின் சரியான செய்தியை வைத்திருங்கள், ஏனெனில் அது பொதுவாக விதியின் பெயரைக் கூறும். வரம்பைத் தவிர்ப்பதற்குப் பதிலாக சுயவிவர உரிமையாளரிடம் அங்கீகரிக்கப்பட்ட பணிப்பாய்வைக் கேளுங்கள்.
மெய்நிகர் இயந்திரம் யாரையும் அந்த விதியிலிருந்து விடுவிக்காது, அது தனது சொந்த வலையமைப்பு மற்றும் சான்று வடிவமைப்பைச் சேர்க்கிறது.
உங்களுக்கு முக்கியமான சூழலைச் சோதியுங்கள்
உத்தேசிக்கப்பட்ட பயனரையும் பயன்பாட்டையும் சோதியுங்கள், பின்னர் மறுக்கப்பட வேண்டிய சூழலைச் சோதியுங்கள். அசல் கடவுச்சொல் வேலை செய்கிறது என்பதை மட்டும் நிரூபிக்கும் மதிப்பாய்வு அங்கீகாரத்தைச் சோதித்தது, வேறு எதையும் அல்ல.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'ஒவ்வொரு முடிவின் அருகிலும் அமலாக்கப் புள்ளியைப் பதிவு செய்யுங்கள்: வழி அட்டவணை, UID விதி, சுயவிவர அனுமதி அல்லது நுழைவாயிலின் அமர்வுக் கொள்கை. அந்தப் பதிவு அடுத்த மாற்றத்தை மதிப்பாய்வு செய்யக்கூடியதாக்குகிறது. யாராவது இரண்டாவது உள்நுழைவுத் திரையைக் கவனிக்கும் ஒவ்வொரு முறையும் அதே கேள்வி மீண்டும் திறப்பதையும் அது தடுக்கிறது. அணுகல் என்பது அனுமதி அல்ல, அவற்றில் எதுவும் தனிமை அல்ல.