పంచుకున్న పీసీలో ఒక VPN లాగిన్: రూట్ను మరెవరు పొందుతారు?
VPN లాగిన్ ఒక వ్యక్తిని ధృవీకరిస్తుంది; అది ఇన్స్టాల్ చేసే రూట్ వేరే పరిధి. పంచుకున్న మెషీన్లో హోస్ట్ మొత్తం, ప్రతి వినియోగదారు మరియు ప్రతి యాప్ టన్నెల్లను పోల్చండి.
వర్క్స్టేషన్ను పంచుకోవడం ఒకే వినియోగదారు ల్యాప్టాప్ ఎప్పుడూ సమాధానం చెప్పాల్సిన అవసరం లేని ప్రశ్నను లేవనెత్తుతుంది: ఒక వ్యక్తి టన్నెల్ను ధృవీకరించిన తర్వాత మరెవరు దాన్ని ఉపయోగించగలరు? లాగిన్ ఒక విషయాన్ని గుర్తిస్తుంది, ఇన్స్టాల్ అయ్యే రూట్ ఒక పరిధిని వివరిస్తుంది, ఈ రెండూ ఒకే వస్తువు కావు. వాటి మధ్య ఆపరేటింగ్ సిస్టమ్, క్లయింట్ కాన్ఫిగరేషన్ మరియు ప్రైవేట్ సేవ స్వయంగా కోరేవి ఉంటాయి. ఊహించకుండా సమాధానం చెప్పడానికి ఏకైక మార్గం అమలు బిందువులను పోల్చడం.
ఒక లాగిన్, అనేక పరిధులు
ధృవీకరణ ఎవరిని లోపలికి అనుమతించారో సమాధానం చెబుతుంది. రూట్ ఏ ప్యాకెట్లు టన్నెల్ నుండి బయటకు వెళ్లగలవో సమాధానం చెబుతుంది. అనుమతి ఏ సేవ ఫలిత కనెక్షన్ను అంగీకరిస్తుందో సమాధానం చెబుతుంది, మూడింటిలో ఏదీ తదుపరిదాన్ని సూచించదు.
హోస్ట్ మొత్తం టన్నెల్ సాధారణ డిఫాల్ట్, అది ఖాళీని స్పష్టం చేస్తుంది. రూట్ కర్నెల్ పట్టికలో ఉంటుంది, కాబట్టి ఆ పట్టికను ఉపయోగించే ప్రతి ప్రక్రియ ప్రైవేట్ నెట్వర్క్ను చేరుకోగలదు, VPN సంభాషణను ఎప్పుడూ చూడని వినియోగదారు ప్రారంభించిన ప్రక్రియ కూడా. ఇది టన్నెల్ లోపం కాదు; సిస్టమ్ మొత్తం రూట్ అర్థం ఇదే. ప్రైవేట్ సేవ ఇప్పటికీ కనెక్షన్ను తిరస్కరించవచ్చు, అందుకే చేరుకోగల సామర్థ్యం మరియు అనుమతికి వేర్వేరు సమాధానాలు కావాలి.
పరీక్షకు ముందు నాలుగు ప్రశ్నలు రాసుకుంటే సమీక్ష వాటిలో ఒకటిగా కుదించుకుపోకుండా ఉంటుంది.
సరిహద్దు నిజంగా ఎక్కడ ఉంది
నాలుగు ఏర్పాట్లు చాలా మెషీన్లను కవర్ చేస్తాయి: హోస్ట్ మొత్తం టన్నెల్, ప్రతి వినియోగదారుకు కనెక్షన్, ప్రతి యాప్కు అనుమతి జాబితా మరియు వేరు నెట్వర్క్ పేరు స్థలం లేదా వర్చువల్ మెషీన్.
ప్రతిదీ అమలు బిందువును వేరే చోట ఉంచుతుంది, లేబుళ్ల కంటే భేదాలు ముఖ్యం. ప్రతి వినియోగదారు కనెక్షన్ను ప్రొఫైల్ అనుమతులు అమలు చేస్తాయి, డెస్క్టాప్ లాగిన్ స్క్రీన్ కాదు. ప్రతి యాప్ అనుమతి జాబితా క్లయింట్ లోపల అమలవుతుంది, ఏమి మోసుకెళ్తుందో అదే నిర్ణయిస్తుంది. పేరు స్థలం లేదా VM ఇంటర్ఫేస్ సరిహద్దులో అమలు చేస్తుంది, కాబట్టి లోపలి ప్రక్రియ హోస్ట్ రూట్ను అసలు చూడలేదు. మెషీన్లోని లాగిన్ స్క్రీన్ల సంఖ్య వాటిలో ఏదాని గురించీ ఏమీ చెప్పదు.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
పట్టికను వరుస వరుసగా చదవడం వల్ల నిజమైన ప్రశ్న ఒంటరితనం ఉందా అని కాదు, అది ఎక్కడ అమలైంది అని అని తెలుస్తుంది.
నాలుగు అమలు బిందువులను పోల్చండి
Linux లో రూట్ పట్టిక మొదట చూడాల్సినది, ఎందుకంటే హోస్ట్ మొత్తం టన్నెల్ అక్కడ కనిపిస్తుంది, పేరు స్థలం కనిపించదు. రెండో వినియోగదారుగా శోధన నడపడం ప్రజలు దాటవేసే అడుగు; సమాధానం వారు తాముగా పొందిన దానికి భిన్నంగా ఉంటుంది, అదే నివేదికను వివరిస్తుంది.
తదుపరి రెండు తనిఖీలు రూటింగ్ కాకుండా విధానాన్ని చూస్తాయి. UID తో సరిపోలే ఫైర్వాల్ నియమం స్థానికంగా ఉత్పన్నమైన ట్రాఫిక్కు వర్తిస్తుంది, కాబట్టి ఇద్దరూ రూట్ను పంచుకున్నా ఒకే హోస్ట్లో ఇద్దరు వినియోగదారులను వేరు చేయగలదు. స్పష్టమైన అనుమతి జాబితాతో కనెక్షన్ ప్రొఫైల్ను సక్రియం చేసేటప్పుడు నెట్వర్క్ మేనేజర్ అమలు చేస్తుంది. ఏ తనిఖీనూ టన్నెల్ మార్చాల్సిన అవసరం లేదు, అందుకే ఏదైనా పునఃరూపకల్పన చేయక ముందు ఇవి చేయడం విలువైనది.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidరెండో శోధన టన్నెల్ రూట్ను చూపిస్తే, సరిహద్దు డిజైన్ ఊహించిన చోట లేదు.
ఏకకాల సెషన్ నియమాలు ప్రత్యేక నియంత్రణ
గేట్వేలు తరచుగా ఒక ఖాతా ఎన్ని సెషన్లు ఉంచుకోవచ్చో పరిమితం చేస్తాయి, ఆ పరిమితికి స్థానిక వినియోగదారులతో ఎటువంటి సంబంధమూ లేదు. అది ఖాతాను పరిమితం చేస్తుంది, కాబట్టి అదే ఆధారాలతో సైన్ ఇన్ అయ్యే రెండో వ్యక్తి మొదటి వ్యక్తి టన్నెల్ను ముగించగలడు.
స్థానిక ఒంటరితన సమస్య అని భావించక ముందు వైఫల్యాన్ని చదవండి. సెషన్ పరిమితి గేట్వే వద్ద డిస్కనెక్ట్ కలిగిస్తుంది, పరిధి సమస్య పనిచేసే కానీ మరో వినియోగదారు ట్రాఫిక్ను మోయని టన్నెల్ను కలిగిస్తుంది. ఈ రెండు లక్షణాలు పూర్తిగా భిన్నమైన సవరణలకు దారి తీస్తాయి. క్లయింట్ ఖచ్చితమైన సందేశాన్ని ఉంచండి, ఎందుకంటే అది సాధారణంగా నియమం పేరు చెబుతుంది. పరిమితిని తప్పించుకోవడం బదులు ప్రొఫైల్ యజమానిని ఆమోదించిన పని ప్రవాహాన్ని అడగండి.
వర్చువల్ మెషీన్ ఎవరినీ ఆ నియమం నుండి మినహాయించదు, అది తన సొంత నెట్వర్క్ మరియు ఆధారాల డిజైన్ను జోడిస్తుంది.
మీకు ముఖ్యమైన సందర్భాన్ని పరీక్షించండి
ఉద్దేశించిన వినియోగదారు మరియు యాప్ను పరీక్షించండి, తర్వాత తిరస్కరించాల్సిన సందర్భాన్ని పరీక్షించండి. అసలు పాస్వర్డ్ పనిచేస్తుందని మాత్రమే రుజువు చేసే సమీక్ష ధృవీకరణను పరీక్షించింది, మరేదీ కాదు.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'ప్రతి ఫలితం పక్కన అమలు బిందువును నమోదు చేయండి: రూట్ పట్టిక, UID నియమం, ప్రొఫైల్ అనుమతి లేదా గేట్వే సెషన్ విధానం. ఆ నమోదు తదుపరి మార్పును సమీక్షించదగినదిగా చేస్తుంది. ఎవరైనా రెండో లాగిన్ స్క్రీన్ను గమనించిన ప్రతిసారీ అదే ప్రశ్న మళ్లీ తెరుచుకోకుండా కూడా అది నిరోధిస్తుంది. చేరుకోగల సామర్థ్యం అనుమతి కాదు, వాటిలో ఏదీ ఒంటరితనం కాదు.