భాగస్వామ్య TAP VPN ఇప్పటికీ పోర్టల్‌లో HTTPS ఎందుకు అవసరం
TAP VPN సహచరుడిని ధృవీకరిస్తుంది, దాని వెనుక ఉన్న సేవను కాదు. పోర్టల్‌లో హోస్ట్‌నేమ్ ధృవీకరణను ఉంచి, మీరు నమ్మని పొరుగువారిని వేరుచేయండి.
రెండు పరికరాలు చెల్లుబాటు అయ్యే VPN ఆధారాలను కలిగి ఉన్నాయి మరియు ఒకే బ్రిడ్జ్ చేసిన Ethernet విభాగాన్ని పంచుకుంటాయి. వాటిలో ఒకటి మాత్రమే కార్యాలయ పోర్టల్ కోసం సమాధానం ఇవ్వాలి, మరొకటి ఇప్పటికీ ఆ విభాగంలో పోర్టల్ చిరునామాను క్లెయిమ్ చేయగలదు. సొరంగం తన పని చేసింది: రెండు సహచరులను ధృవీకరించి, సర్వర్‌కు ప్రతి మార్గాన్ని గుప్తీకరించింది. అది చేయనిది వారిలో ఎవరికి సేవా పేరు ఉందో ధృవీకరించడం, ఆ అంతరమే పోర్టల్‌కు ఇప్పటికీ చెల్లుబాటు అయ్యే ధృవపత్రం అవసరమవడానికి కారణం.
VPN నిజంగా ఏమి ధృవీకరిస్తుంది
VPN హ్యాండ్‌షేక్ ఒక ప్రశ్నకు సమాధానం ఇస్తుంది: ఏ సహచరుడు ఈ సొరంగాన్ని ఏ కీ పదార్థంతో పూర్తి చేసింది. ఆ సమాధానం ప్రతి సహచరుడికి మరియు ప్రతి కనెక్షన్‌కు సంబంధించినది, మరియు ఆ సహచరుడు తర్వాత బహిర్గతం చేసే సేవల గురించి ఏమీ చెప్పదు. TAP విభాగంలో సహచరుడు ఒక చిరునామా కూడా కాదు, ఎందుకంటే బ్రిడ్జ్ నేర్చుకోవడానికి సిద్ధంగా ఉన్న ఏదైనా MAC మరియు ఏదైనా IP ను అది ప్రదర్శించగలదు. ధృవీకరణ సొరంగం చివరలో ఆగుతుంది, అప్లికేషన్‌లో కాదు.
మూడు ప్రశ్నలను ఒకటిగా విలీనం చేయడం బదులు వేరు చేయండి. ప్రతిదానికి దాని స్వంత యంత్రాంగం మరియు దాని స్వంత వైఫల్య విధానం ఉన్నాయి.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
ఒక అమరికలో పూర్తిగా ధృవీకరించబడిన సొరంగం మరియు దాని వెనుక పూర్తిగా ధృవీకరించబడని సేవ ఉండవచ్చు. రెండవ పొర చిరునామాను మరొక సహచరుడు క్లెయిమ్ చేస్తున్న హోస్ట్‌పై ధృవీకరించిన ధృవపత్రం కూడా ఉండవచ్చు, అందువల్ల డిజైన్‌లో ఒకటి మరొకటి భర్తీ చేయడం కాదు, రెండు నియంత్రణలు ఉండాలి. పట్టిక మూడు వరుసల్లో మొత్తం వాదన.
భాగస్వామ్య విభాగంలో ARP డైరెక్టరీ కాదు
ARP స్థానిక లింక్‌లో IPv4 చిరునామాను MAC కు మ్యాప్ చేస్తుంది మరియు ఆ లింక్‌లో ఎవరి నుండైనా సమాధానాలను అంగీకరిస్తుంది. అనుమతించే బ్రిడ్జ్ చేసిన విభాగంలో సహచరుడు మరొక పరికరానికి చెందిన చిరునామాను క్లెయిమ్ చేయగలదు, బ్రిడ్జ్ ఫ్రేమ్‌లను చివరగా సమాధానం ఇచ్చిన వారికి పంపుతుంది. సర్వర్‌కు ప్రతి క్లయింట్ మార్గాన్ని గుప్తీకరించడం దాన్ని మార్చదు, ఎందుకంటే ఫ్రేమ్‌లు బ్రిడ్జ్‌ను చేరుకునే ముందే డీక్రిప్ట్ అవుతాయి. ARP విశ్వాస సరిహద్దు సొరంగం కాదు, విభాగం.
హోస్ట్ నిజంగా ఏమి నేర్చుకుందో చూడండి: ip neigh show ప్రస్తుత మ్యాపింగ్‌లు మరియు వాటి స్థితిని జాబితా చేస్తుంది, సాధారణ ఆపరేషన్‌లో రెండు MAC చిరునామాల మధ్య మారే ఎంట్రీ నిర్లక్ష్యం చేయడం బదులు పరిశోధించదగిన లక్షణం. ఆరోగ్యకరమైన చిన్న విభాగంలో అలాంటి ఎంట్రీలు దీర్ఘకాలం స్థిరంగా ఉంటాయి.
సహచరుల వేరుచేయడం మరియు బ్రిడ్జ్ విధానం సరిగ్గా ఈ సందర్భం కోసం ఉన్నాయి. సేవ IP మాత్రమే అయినప్పుడు మరియు పరికరాలకు ఒకదానికొకటి ఫ్రేమ్‌లను చూడటానికి కారణం లేనప్పుడు రూట్ చేసిన డిజైన్ సాధారణంగా మంచి సమాధానం.
ధృవపత్ర ధృవీకరణను సేవ ఉన్న చోటే ఉంచండి
అప్లికేషన్ TLS సొరంగం సమాధానం ఇవ్వలేని ప్రశ్నకు సమాధానం ఇస్తుంది: నేను చేరుకోవాలనుకున్న సేవ ఇదేనా. బ్రౌజర్ హోస్ట్‌నేమ్‌ను ధృవపత్రంతో తనిఖీ చేస్తుంది, ఆ తనిఖీయే గొలుసులో సహచరుడిని కాదు, పోర్టల్‌ను పేర్కొనే ఏకైక భాగం.
హెచ్చరిక కేవలం బాహ్య రూపం అని నిర్ణయించే ముందు సర్వర్ ఏమి ప్రదర్శిస్తుందో పరిశీలించండి. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal గొలుసు మరియు విషయం యొక్క ప్రత్యామ్నాయ పేర్లను ముద్రిస్తుంది. మీరు టైప్ చేసిన పేరు ఆ జాబితాలో లేకపోతే హెచ్చరిక సరైనది మరియు ధృవపత్రమే సరిచేయవలసినది. వినియోగదారులకు దాన్ని దాటవేయడం నేర్పడం పనిచేసే నియంత్రణను అలంకరణగా మారుస్తుంది.
OpenVPN బ్రిడ్జింగ్ గైడ్ Ethernet నమూనా మరియు దాని చుట్టూ ఉన్న విధాన ఎంపికలను వివరిస్తుంది, విభాగం ఏమి అనుమతించాలో దానికి ఇదే సరైన సూచన. బ్రిడ్జ్ నియమాన్ని సడలించే ముందు దాన్ని చదవండి, ఎందుకంటే అది వివరించే నమూనానే పైన ఉన్న ప్రతి తనిఖీ ఊహిస్తుంది.
ఆ సహచరులు విభాగాన్ని పంచుకోవాలా అని నిర్ణయించండి
అవసరం IP చేరుకోగలగడం మాత్రమే అయినప్పుడు రెండవ పొరను పంచుకోవడం ఆపడం సాధారణంగా చౌకైన పరిష్కారం. రూట్ చేసిన VPN ప్రతి క్లయింట్‌కు దాని స్వంత చిరునామాను ఇస్తుంది, పంచుకున్న ప్రసార డొమైన్‌ను తొలగిస్తుంది మరియు సహచరుల మధ్య ట్రాఫిక్‌ను డిఫాల్ట్ బదులు విధాన నిర్ణయంగా మారుస్తుంది. అప్పుడు పోర్టల్‌కు రక్షించడానికి ఒక చిరునామా ఉంటుంది మరియు దాన్ని క్లెయిమ్ చేయగల పొరుగువారు ఉండరు.
విభాగం ఉండాల్సిందే అయితే, క్లయింట్లు ఒకరినొకరు చేరుకోవడానికి అనుమతించే సర్వర్-సైడ్ సెట్టింగ్‌ను తనిఖీ చేయండి: grep -n client-to-client /etc/openvpn/server.conf. అది నిలిపివేయబడినప్పుడు క్లయింట్ ట్రాఫిక్ సర్వర్ గుండా వెళుతుంది మరియు అక్కడే ఫిల్టర్ చేయవచ్చు. అది ప్రారంభించబడినప్పుడు సహచరులు బ్రిడ్జ్ ద్వారా నేరుగా ఫ్రేమ్‌లను మార్పిడి చేసుకుంటారు, మీ ఫిల్టరింగ్ పాయింట్లు బ్రిడ్జ్ మరియు హోస్ట్ ఫైర్వాల్.
ప్రతి హోస్ట్ నిజంగా ఏ రక్షణలపై ఆధారపడి ఉందో రాయండి: సొరంగ ధృవీకరణ, విభాగ వేరుచేయడం లేదా అప్లికేషన్ TLS. మూడింటిపైనా ఆధారపడే హోస్ట్ బాగానే ఉంటుంది. మొదటిదానిపై ఆధారపడి మిగతా రెండు దానితో పాటు వచ్చాయని భావించే హోస్ట్ చివరికి తప్పు కంటెంట్‌ను అందిస్తుంది.