பகிரப்பட்ட TAP VPN இன்னும் போர்ட்டலில் HTTPS ஏன் தேவைப்படுகிறது
TAP VPN இணையை அங்கீகரிக்கிறது, அதன் பின்னால் உள்ள சேவையை அல்ல. போர்ட்டலில் ஹோஸ்ட்பெயர் சரிபார்ப்பை வைத்திருந்து, நீங்கள் நம்பாத அண்டை நாடுகளைத் தனிமைப்படுத்துங்கள்.
இரண்டு சாதனங்கள் செல்லுபடியாகும் VPN சான்றுகளைக் கொண்டுள்ளன, ஒரே பாலம் இணைக்கப்பட்ட Ethernet பிரிவைப் பகிர்கின்றன. அவற்றில் ஒன்று மட்டுமே அலுவலக போர்ட்டலுக்குப் பதிலளிக்க வேண்டும், மற்றொன்று அந்தப் பிரிவில் போர்ட்டல் முகவரியை இன்னும் கோரலாம். சுரங்கப்பாதை தனது வேலையைச் செய்தது: அது இரு இணைகளையும் அங்கீகரித்து ஒவ்வொரு பாதையையும் சேவையகத்திற்கு மறையாக்கியது. அது செய்யாதது அவர்களில் யாருக்குச் சேவைப் பெயர் உள்ளது என்பதைச் சான்றளிப்பதாகும், அந்த இடைவெளியே போர்ட்டலுக்கு இன்னும் செல்லுபடியாகும் சான்றிதழ் தேவைப்படுவதற்குக் காரணம்.
VPN உண்மையில் எதை அங்கீகரிக்கிறது
VPN கைக்குலுக்கல் ஒரு கேள்விக்குப் பதிலளிக்கிறது: எந்த இணை இந்தச் சுரங்கப்பாதையை எந்த முக்கியப் பொருளுடன் நிறைவு செய்தது. அந்தப் பதில் ஒவ்வொரு இணைக்கும் ஒவ்வொரு இணைப்பிற்கும் உரியது, அந்த இணை பின்னர் வெளிப்படுத்தும் சேவைகள் பற்றி எதுவும் கூறாது. TAP பிரிவில் இணை ஒரு முகவரிகூட அல்ல, ஏனெனில் பாலம் கற்கத் தயாராக உள்ள எந்த MAC மற்றும் எந்த IP ஐயும் அது வழங்கலாம். அங்கீகாரம் சுரங்கப்பாதையின் முனையில் நிற்கிறது, பயன்பாட்டில் அல்ல.
மூன்று கேள்விகளை ஒன்றாக இணைப்பதற்குப் பதிலாகப் பிரிக்கவும். ஒவ்வொன்றுக்கும் அதன் சொந்த வழிமுறையும் தோல்வி முறையும் உள்ளன.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
ஒரு பயன்பாட்டில் முழுமையாக அங்கீகரிக்கப்பட்ட சுரங்கப்பாதையும் அதன் பின்னால் முழுமையாக அங்கீகரிக்கப்படாத சேவையும் இருக்கலாம். இரண்டாம் அடுக்கு முகவரியை மற்றொரு இணை கோரும் ஹோஸ்ட்டில் சரிபார்க்கப்பட்ட சான்றிதழும் இருக்கலாம், எனவே வடிவமைப்பில் ஒன்று மற்றொன்றுக்குப் பதிலாக அல்ல, இரண்டு கட்டுப்பாடுகளும் இருக்க வேண்டும். அட்டவணை மூன்று வரிகளில் முழு வாதம்.
பகிரப்பட்ட பிரிவில் ARP ஒரு அடைவு அல்ல
ARP உள்ளூர் இணைப்பில் IPv4 முகவரியை MAC உடன் பொருத்தி, அந்த இணைப்பில் யாரிடமிருந்தும் பதில்களை ஏற்கிறது. அனுமதிக்கும் பாலம் இணைக்கப்பட்ட பிரிவில் ஒரு இணை மற்றொரு சாதனத்திற்குச் சொந்தமான முகவரியைக் கோரலாம், பாலம் கடைசியாகப் பதிலளித்தவருக்கு சட்டகங்களை அனுப்புகிறது. சேவையகத்திற்கான ஒவ்வொரு கிளையன் பாதையையும் மறையாக்குவது அதை மாற்றாது, ஏனெனில் சட்டகங்கள் பாலத்தை அடைவதற்கு முன்பே மறைகுறியாக்கப்படுகின்றன. ARP இன் நம்பிக்கை எல்லை சுரங்கப்பாதை அல்ல, பிரிவு.
ஹோஸ்ட் உண்மையில் கற்றதைப் பாருங்கள்: ip neigh show தற்போதைய பொருத்தங்களையும் அவற்றின் நிலையையும் பட்டியலிடுகிறது, சாதாரண செயல்பாட்டின் போது இரண்டு MAC முகவரிகளுக்கிடையே மாறும் உள்ளீடு புறக்கணிக்கப்படுவதற்குப் பதிலாக விசாரிக்கத் தகுந்த அறிகுறியாகும். ஆரோக்கியமான சிறிய பிரிவில் அத்தகைய உள்ளீடுகள் நீண்ட காலம் நிலையாக இருக்கும்.
இணை தனிமைப்படுத்தலும் பாலம் கொள்கையும் இந்த நிலைக்காகவே உள்ளன. சேவை IP மட்டுமாக இருந்து, சாதனங்கள் ஒன்றையொன்று பார்ப்பதற்கு எந்தக் காரணமும் இல்லாதபோது, வழிப்படுத்தப்பட்ட வடிவமைப்பே பொதுவாகச் சிறந்த பதில்.
சான்றிதழ் சரிபார்ப்பை சேவை இருக்கும் இடத்திலேயே வையுங்கள்
பயன்பாட்டின் TLS சுரங்கப்பாதை பதிலளிக்க முடியாத கேள்விக்குப் பதிலளிக்கிறது: நான் அடைய விரும்பிய சேவை இதுவா. உலாவி ஹோஸ்ட்பெயரைச் சான்றிதழுடன் சரிபார்க்கிறது, அந்தச் சரிபார்ப்பே சங்கிலியில் இணையை அல்ல, போர்ட்டலைப் பெயரிடும் ஒரே பகுதி.
எச்சரிக்கை வெறும் தோற்றம் என்று முடிவெடுக்கும் முன் சேவையகம் என்ன வழங்குகிறது என்பதைப் பாருங்கள். openssl s_client -connect portal.example.internal:443 -servername portal.example.internal சங்கிலியையும் பொருளின் மாற்றுப் பெயர்களையும் அச்சிடுகிறது. நீங்கள் தட்டச்சு செய்த பெயர் அந்தப் பட்டியலில் இல்லையென்றால் எச்சரிக்கை சரியானது, சான்றிதழே சரிசெய்ய வேண்டியது. பயனர்களுக்கு அதைக் கடக்கக் கற்பிப்பது செயல்படும் கட்டுப்பாட்டை அலங்காரமாக மாற்றுகிறது.
OpenVPN பாலமிடல் வழிகாட்டி Ethernet மாதிரியையும் அதைச் சுற்றியுள்ள கொள்கை விருப்பங்களையும் விவரிக்கிறது, பிரிவு எதை அனுமதிக்க வேண்டும் என்பதற்கு அதுவே சரியான குறிப்பு. பாலம் விதியைத் தளர்த்தும் முன் அதைப் படியுங்கள், ஏனெனில் அது விவரிக்கும் மாதிரியே மேலே உள்ள ஒவ்வொரு சரிபார்ப்பும் கருதுவது.
அந்த இணைகள் ஒரு பிரிவைப் பகிர வேண்டுமா என்று முடிவு செய்யுங்கள்
தேவை IP அணுகல் மட்டுமெனில் இரண்டாம் அடுக்கைப் பகிர்வதை நிறுத்துவதே பொதுவாக மலிவான தீர்வு. வழிப்படுத்தப்பட்ட VPN ஒவ்வொரு கிளையனுக்கும் அதன் சொந்த முகவரியை வழங்குகிறது, பகிரப்பட்ட ஒளிபரப்பு களத்தை நீக்குகிறது, இணைகளுக்கிடையேயான போக்குவரத்தை இயல்புநிலைக்குப் பதிலாகக் கொள்கை முடிவாக மாற்றுகிறது. பிறகு போர்ட்டலுக்குப் பாதுகாக்க ஒரு முகவரி மட்டும், அதைக் கோரக்கூடிய அண்டை யாரும் இல்லை.
பிரிவு இருக்க வேண்டுமானால், கிளையன்கள் ஒருவரையொருவர் அடைய அனுமதிக்கும் சேவையகப் பக்க அமைப்பைச் சரிபார்க்கவும்: grep -n client-to-client /etc/openvpn/server.conf. அது முடக்கப்பட்டால் கிளையன் போக்குவரத்து சேவையகம் வழியாகச் சென்று அங்கே வடிகட்டப்படலாம். அது இயக்கப்பட்டால் இணைகள் பாலம் வழியாக நேரடியாகச் சட்டகங்களைப் பரிமாறிக்கொள்ளும், உங்கள் வடிகட்டுதல் புள்ளிகள் பாலமும் ஹோஸ்ட் ஃபயர்வாலும்.
ஒவ்வொரு ஹோஸ்டும் உண்மையில் எந்தப் பாதுகாப்புகளைச் சார்ந்துள்ளது என்பதை எழுதுங்கள்: சுரங்கப்பாதை அங்கீகாரம், பிரிவு தனிமைப்படுத்தல் அல்லது பயன்பாட்டு TLS. மூன்றையும் சார்ந்த ஹோஸ்ட் நன்று. முதலாவதைச் சார்ந்து மற்ற இரண்டும் அதனுடன் வந்தன என்று கருதும் ஹோஸ்டே இறுதியில் தவறான உள்ளடக்கத்தை வழங்குகிறது.