నమ్మలేని VPN ఒకటి కాదు, మూడు వేర్వేరు సరిహద్దులు

«నేను ఈ VPNను నమ్మను» సాధారణంగా ఒకే వాక్యంలో ధరించిన మూడు ప్రకటనలు. ఆ నెట్‌వర్క్‌లోని దూర సహచరులు మీ హోస్ట్‌లోని సేవలను చేరుకోవచ్చు, సొరంగాన్ని నడిపించే నిర్వాహకుడు దాని గుండా వెళ్లే ట్రాఫిక్‌ను గమనించవచ్చు, మరియు మీరు ఇన్‌స్టాల్ చేసిన క్లయింట్ సాఫ్ట్‌వేర్ మీ మెషీన్ నెట్‌వర్క్ విధానాన్ని మార్చవచ్చు. సరిదిద్దదగిన నమ్మకం ఏమిటంటే, ఫైర్‌వాల్ నియమం, వర్చువల్ మెషీన్ లేదా జాగ్రత్తగా ఎంపిక చేసిన ఆపరేటింగ్ సిస్టమ్ మూడింటికీ సమాధానం ఇస్తాయి. ప్రతి చర్య వాటిలో సరిగ్గా ఒకదానికి సమాధానం ఇస్తుంది.

పురాణం: ఒక నియంత్రణ మొత్తం ప్రమాదాన్ని కప్పుతుంది

సాధారణ ఊహ ఏమిటంటే, నమ్మలేని నెట్‌వర్క్‌లో చేరడం ఒక నిర్ణయం మరియు ఒక తగ్గింపు. ప్రజలు ఇప్పటికే నమ్మే నియంత్రణను ఎంచుకుని, దాన్ని వర్తింపజేసి, ప్రమాదం తీరిపోయిందని భావిస్తారు: ఫైర్‌వాల్ ఆన్‌లో ఉంది, పని ప్రదేశం పారవేయదగినది, క్లయింట్ గౌరవనీయమైన సరఫరాదారు నుండి వచ్చింది.

ఈ నియంత్రణలు ఊహ సూచించిన విధంగా ఒకదానిపై ఒకటి అతివ్యాప్తి చెందవు. హోస్ట్ ఫైర్‌వాల్ దూర సహచరుడు ఎంతవరకు చేరుకోగలడో పరిమితం చేస్తుంది, మరియు మీ TLSను ముగించే నిర్వాహకుడిపై ఎటువంటి ప్రభావం చూపదు. వర్చువల్ మెషీన్ పని ప్రదేశాన్ని మీ హోస్ట్ ఫైల్‌ల నుండి వేరుచేస్తుంది, మరియు రెండింటి కింద ఉన్న నెట్‌వర్క్ స్టాక్‌ను పునఃకాన్ఫిగర్ చేయడానికి అనుమతి ఉన్న క్లయింట్ భాగంపై ఎటువంటి ప్రభావం చూపదు. ప్రతి నియంత్రణ నిజంగా సృష్టించే సరిహద్దును పేర్కొనడమే మొత్తం వ్యాయామం.

వాటిని వేరుచేయడం మీరు ఏ ప్రమాదాన్ని అంగీకరించాలని ఎంచుకున్నారో కూడా చెబుతుంది. చాలా వాస్తవ నిర్ణయాలు ఒక సరిహద్దును తగ్గిస్తాయి మరియు మరొకదాన్ని సహిస్తాయి, మార్పు రికార్డు ఏది ఏదో చెప్పినంత కాలం అది సరైనదే.

దూర సహచరుడు నిజంగా ఎంతవరకు చేరుకోగలడు

వినిపించే సేవలతో ప్రారంభించండి. ప్యాకెట్లు గూఢీకృతంగా వచ్చినందున విస్తృతంగా నమ్మదగినదిగా పరిగణించే సొరంగ ఇంటర్‌ఫేస్ సాధారణ పొరపాటు, మరియు అది ఆ నెట్‌వర్క్‌లోని ప్రతి ఒక్కరికీ ప్రతి స్థానిక శ్రోతను సంభావ్య లక్ష్యంగా మారుస్తుంది. గూఢీకరణ రెండు చివరల మధ్య వైరును రక్షిస్తుంది; అది అవతలి చివర ఉన్న సహచరుడి ఉద్దేశం గురించి ఏమీ చెప్పదు.

ss -tulpn
sudo nft list ruleset
ip -br addr

సేవలను ప్రతి ఇంటర్‌ఫేస్‌కు కాకుండా అవసరమైన చిరునామాకు కట్టండి, మరియు ఆమోదించబడిన పని కోరే కార్యకలాపాలను మాత్రమే అనుమతించండి. ఫార్వర్డింగ్, బ్రిడ్జింగ్ మరియు అప్లికేషన్ ప్రాక్సీని స్పష్టంగా ఉంచండి, ఎందుకంటే రెండు నెట్‌వర్క్ కనెక్షన్‌లు తామే ట్రాన్సిట్ మార్గాన్ని సృష్టించవు, కానీ ప్రాక్సీ నియమం ఖచ్చితంగా సృష్టించగలదు.

ఆమోదించబడిన పారవేయదగిన పని ప్రదేశం దూర నెట్‌వర్క్ ఎంతవరకు చేరుకోగలదో తగ్గిస్తుంది, కానీ దాని భాగస్వామ్య కాన్ఫిగరేషన్ మాత్రం దావాకు సరిపోయినప్పుడే. భాగస్వామ్య ఫోల్డర్లు, క్లిప్‌బోర్డ్ ఏకీకరణ, ఆధారాల ఏజెంట్లు మరియు నిర్వహణ ఛానెల్‌లు అన్నీ పని ప్రదేశం సృష్టించాల్సిన సరిహద్దును దాటుతాయి. పని ప్రదేశం లేబుల్ వాటిలో ఏది తెరిచి ఉందో ఏమీ నిరూపించదు.

NIST యొక్క సున్నా-నమ్మక నిర్మాణం ఇవన్నింటికీ వెనుక ఉన్న సూత్రాన్ని చెబుతుంది: నెట్‌వర్క్ స్థానం మాత్రమే అప్రయత్న నమ్మకాన్ని ఇవ్వదు. సొరంగం అనుమతించిన తర్వాత కూడా వనరు ప్రామాణీకరణకు పని ఉంది, ఆ నెట్‌వర్క్‌ను ఇంకా ఎవరు పంచుకుంటున్నారనే ప్రశ్నకూ ఉంది.

మార్గంలోని నిర్వాహకుడు ఏమి చూడగలడు

VPN మీ ట్రాఫిక్‌ను మార్గంలో మరో స్థలానికి తరలిస్తుంది; అది అప్లికేషన్ గూఢీకరణను జోడించదు. ప్రదాత మీ TLSను ముగిస్తే, మీ బ్రౌజర్ లేకపోతే రక్షించేది ప్రదాత చదవగలదు, ఏ స్థానిక ఫైర్‌వాల్ నియమం దాన్ని మార్చదు.

నిజమైన గమ్యానికి సాధారణ ధృవపత్ర ధృవీకరణను ఉంచండి మరియు పరిష్కారి మరియు మెటాడేటా మార్గాన్ని అర్థం చేసుకోండి, ఎందుకంటే DNS ప్రశ్న దాని ముందు వెళ్లే పేలోడ్ కంటే ఎక్కువ బహిర్గతం చేయగలదు. మెటాడేటా మాత్రమే, అంటే మీరు ఏ చిరునామాలతో ఎప్పుడు సంప్రదించారో, తరచుగా కంటెంట్ చదవాల్సిన అవసరం లేకుండా నిర్వాహకుడి ప్రశ్నకు సమాధానం ఇస్తుంది. అందుకే «ట్రాఫిక్ గూఢీకృతం» మరియు «ట్రాఫిక్ ప్రైవేట్» వేర్వేరు దావాలు.

ఆ దృశ్యమానత పనికి ఆమోదయోగ్యం కాకపోతే, సమాధానం మరింత స్థానిక వడపోత కాదు, మరో ఆమోదించబడిన నిర్మాణం. స్థానిక వడపోత ఇంకా కూర్చున్న మార్గం నుండి పర్యవేక్షకుడిని తొలగించలేదు.

స్థానిక క్లయింట్ ఏమి మార్చగలదు

ప్రజలు తప్పించుకునే సరిహద్దు ఇదే, మిగతా రెండింటిని అర్థరహితం చేసేది కూడా ఇదే. లినక్స్‌లో CAP_NET_ADMIN తన నెట్‌వర్క్ సందర్భంలో ఇంటర్‌ఫేస్ కాన్ఫిగరేషన్, ఫైర్‌వాల్ నిర్వహణ మరియు మార్గ మార్పులను కవర్ చేస్తుంది. ఆ సామర్థ్యం ఉన్న సాఫ్ట్‌వేర్ మీరు ఇప్పుడే రాసిన విధానాన్ని తిరిగి రాయగలదు.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

నెట్‌వర్క్ పేరు స్థలం నెట్‌వర్క్ స్థితికి నిజమైన సరిహద్దు మరియు మిగతా అన్నింటికీ బలహీనమైనది: అది ఫైల్ సిస్టమ్‌ను లేదా ఆధారాల నిల్వను వేరుచేయదు. దాన్ని మొత్తం సమస్యకు కంటైనర్‌గా కాకుండా ఒక పొరగా పరిగణించండి.

క్లయింట్ మరియు దాని కాన్ఫిగరేషన్‌ను నిర్వహించబడే మూలం నుండి పొందండి, అది కోరే అధికారాన్ని సమీక్షించండి, మరియు ప్రత్యేక హక్కుల భాగాలను నిర్వాహకుడి నియంత్రణలో ఉంచండి. విలువైన ఆధారాల పక్కన వివరించబడని ఇన్‌స్టాలర్‌ను అమలు చేసే అనుమతి కాకుండానే వర్చువల్ మెషీన్ అర్హత కలిగిన మూల్యాంకన సరిహద్దులో భాగం కాగలదు. ఇన్‌స్టాలర్ మీరు ఇచ్చే ఏ అధికారంతోనైనా నడుస్తుంది, ఆ అధికారమే సరిహద్దు.

మీరు ఏ సరిహద్దును అంగీకరించారో రాయండి

నాలుగు విషయాలను పేర్కొనే వాక్యంతో ముగించండి: నమ్మదగిన స్థానిక కోడ్, అనుమతించిన దూర ప్రవేశం, రక్షించబడిన అప్లికేషన్ డేటా మరియు మిగిలిన నిర్వాహక సంబంధం. ఆ వాక్యం VM, ఆపరేటింగ్ సిస్టమ్ లేదా యాంటీవైరస్ ఉత్పత్తి శత్రు నెట్‌వర్క్‌ను సురక్షితం చేసిందనే సాధారణ దావా కంటే విలువైనది.

తర్వాత సంకుచిత కార్యకలాపం పనిచేస్తుందని మరియు కోరిన నిరాకరణ ఇంకా నిలిచి ఉందని నిర్ధారించండి, సొరంగం పడిపోయిన తర్వాత కూడా. సొరంగం పైన ఉన్నప్పుడు మాత్రమే ఉండే సరిహద్దు మీరు నమోదు చేసిన సరిహద్దు కాదు.

ఏ పరీక్షా ప్రతి బలహీనత లేదని నిరూపించదు, మరియు వ్యతిరేకంగా చెప్పే సమీక్ష అతిగా చెబుతుంది. నిజాయితీ ఫలితం మిగిలిన ప్రమాదాన్ని మరియు దాన్ని అంగీకరించిన వ్యక్తిని పేర్కొంటుంది.