Wi-Fi สาธารณะกับ VPN: สิ่งที่อุโมงค์ไม่ได้ครอบคลุม

ป้ายสีเขียว พอร์ทัลที่พอใจ เบราว์เซอร์ที่ใช้งานได้ นั่นคือเรื่องราวทั้งหมดที่มองเห็น สิ่งที่ป้ายละไว้คือการเชื่อมต่อที่เข้ารหัสนั้นถูกบรรทุกโดยลิงก์ไร้สายเดียวกับที่มันควรปกป้องคุณจากมัน ลิงก์นั้นยังส่งทุกแพ็กเก็ต ยังเห็นที่อยู่ปลายทาง และยังตัดสินว่ามีอะไรมาถึงหรือไม่ การไล่ดูฝั่งแล็ปท็อปของการเชื่อมต่อในโรงแรมแสดงให้เห็นว่าอุโมงค์ครอบคลุมส่วนใดและปล่อยส่วนใดให้คุณ

ลิงก์การเข้าถึงบรรทุกทุกสิ่ง

อุโมงค์ IPsec ESP ห่อแพ็กเก็ตภายในที่ได้รับการปกป้องไว้ในหัวข้อภายนอกที่เครือข่ายกำหนดเส้นทางได้ และ RFC 4303 ข้อ 3.1.2 อธิบายการแยกนั้น แพ็กเก็ตภายในคือสิ่งที่อุโมงค์ปกป้อง หัวข้อภายนอกคือสิ่งที่ฮอตสปอตอ่านเพื่อส่งต่อ การออกแบบอื่นห่อหุ้มต่างออกไป แต่คำถามด้านการวางแผนเหมือนกัน คือเส้นทางเข้าถึงใดบรรทุกการเชื่อมต่อนี้

เกตเวย์ล้มเหลวหรือลิงก์ที่ทำแพ็กเก็ตหล่นจะหยุดการส่งโดยไม่เปิดเผยเนื้อหา การเปลี่ยนไปใช้รหัสที่แรงขึ้นไม่ได้ช่วยเรื่องนั้น เพราะชิ้นที่ขาดคือการขนส่ง ไม่ใช่การเข้ารหัส การส่งสำเร็จก็พิสูจน์ได้น้อยพอ ๆ กันในอีกทาง เพราะเส้นทางที่ใช้งานได้ไม่ได้บอกอะไรเกี่ยวกับสถานะของเครื่องทั้งสอง

แล็ปท็อปของคุณยังมีประตูของตัวเอง

การเข้าร่วมเซกเมนต์ที่ไม่น่าเชื่อถือเปลี่ยนว่าใครเข้าถึงพอร์ตที่เครื่องของคุณรับฟังได้ บริการแชร์ไฟล์ เอเจนต์บริหารระยะไกล หรือเซิร์ฟเวอร์พัฒนาที่ผูกกับทุกอินเทอร์เฟซนั้นเข้าถึงได้โดยใครก็ตามในเซกเมนต์นั้น เว้นแต่มีบางอย่างหยุดไว้ ผู้ฟังที่ตอบก่อนอุโมงค์จะขึ้นนั้นเปิดเผยพอดีในช่วงเวลานั้น

ข้อกำหนดแคบและควรกล่าวให้ชัด: แล็ปท็อปต้องเข้าถึงปลายทาง VPN และอุปกรณ์ที่ไม่เกี่ยวข้องบนฮอตสปอตต้องไม่เข้าถึงบริการในเครื่อง กฎไฟร์วอลล์ของโฮสต์แสดงขอบเขตนั้น และการตั้งค่าการแชร์ของแพลตฟอร์มเองก็แสดงส่วนหนึ่งของขอบเขตนั้นด้วย เครื่องพิมพ์หรือขั้นตอนพอร์ทัลเป็นข้อยกเว้นจำกัดที่คุณเพิ่มอย่างตั้งใจ ไม่ใช่หลักฐานว่าฮอตสปอตทั้งหมดสมควรได้รับความไว้วางใจระดับ LAN สำนักงาน

บางองค์กรยังจำกัดการเข้าถึงในเครื่องขณะมีการเชื่อมต่องานที่ใช้งานอยู่ ซึ่งเป็นนโยบายไม่ใช่วิศวกรรม อ่านนโยบายนั้นก่อนปิดไฟร์วอลล์เพื่อให้อุปกรณ์ต่อพ่วงทำงาน

ตรวจสอบว่ามีอะไรรับฟังอยู่จริง

ดูที่ซ็อกเก็ตไม่ใช่หน้าตั้งค่า เพราะหน้าเว็บอธิบายเจตนาและตารางซ็อกเก็ตอธิบายเครื่อง สองรายการด้านล่างแยกทุกซ็อกเก็ตที่รับฟังออกจากซ็อกเก็ตที่เพื่อนบ้านเข้าถึงได้ รันทั้งสองบนเซกเมนต์ที่ไม่น่าเชื่อถือก่อนเชื่อมต่ออุโมงค์

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

คำสั่งแรกแสดงทุกซ็อกเก็ต และคำสั่งที่สองกรองเฉพาะที่ผูกอยู่นอก loopback บริการบน 0.0.0.0 หรือ :: ใช้ได้บนทุกอินเทอร์เฟซรวมถึงไร้สาย ขณะที่บริการเดียวกันบน 127.0.0.1 เข้าถึงจากเซกเมนต์ไม่ได้เลย คำถามของตัวแก้ชื่อยืนยันว่าชื่อใช้เส้นทางใดก่อนมีอุโมงค์ และนั่นคือจุดที่พอร์ทัลที่ดักไว้แทรกแซง ทำรายการซ้ำหลังเชื่อมต่อ เพราะไคลเอนต์บางตัวยกอินเทอร์เฟซที่เปลี่ยนคำตอบ

พอร์ตที่ปรากฏเฉพาะตอนอุโมงค์ขึ้นนั้นเปิดเผยน้อยกว่า แม้ยังควรรู้ไว้ บันทึกความต่างไม่ใช่รายการสัมบูรณ์ เพราะเดลตาคือสิ่งที่อุโมงค์เพิ่มเข้ามา

อย่ายอมรับตัวตนใหม่กลางเซสชัน

การเปลี่ยนเส้นทางโดยไม่คาดคิด การเชื่อมต่อใหม่ หรือการเปลี่ยนเส้นทางของพอร์ทัลไม่ใช่การอนุญาตให้ยอมรับตัวตนเซิร์ฟเวอร์อื่น หากไคลเอนต์รายงานว่าใบรับรองหรือคีย์ไม่ตรงกัน ให้ถือเป็นข้อค้นพบด้านตัวตน ไม่ใช่การเชื่อมต่อที่ต้องหลบเลี่ยง การติดตั้งใบรับรองรากที่อธิบายไม่ได้เพื่อให้พอร์ทัลทำงานจะเปลี่ยนปัญหาการส่งเป็นปัญหาความไว้วางใจ และปัญหาความไว้วางใจนั้นจะอยู่ยาวกว่าการเดินทางที่สร้างมันขึ้นมา

ใช้ขั้นตอนเบราว์เซอร์ของพอร์ทัลเอง จากนั้นเชื่อมต่ออุโมงค์ใหม่และอ่านบันทึกไคลเอนต์ว่าตรวจสอบตัวตนใด ความล้มเหลวของตัวตนหมายความว่าอีกฝ่ายไม่ใช่คนที่คุณคาดไว้ ขณะที่ความล้มเหลวของการส่งหมายความว่าอีกฝ่ายไม่เคยตอบเลย อย่างแรกเป็นเหตุผลให้หยุด และอย่างที่สองเป็นเหตุผลให้ลองเส้นทางอื่น

ตัดสินใจพฤติกรรมตอนขาดการเชื่อมต่อก่อน

มีสองคุณสมบัติที่สับสนกันตรงนี้ การเชื่อมต่อใหม่พยายามคืนบริการ ขณะที่นโยบายปิดกั้นควบคุมว่าอนุญาตทราฟฟิกใดขณะอุโมงค์ล่ม ทั้งสองไม่ได้ให้ลิงก์ไร้สายที่ใช้งานได้ และทั้งสองไม่ได้พิสูจน์ว่าปลายทางสะอาด เลือกอย่างชัดเจน: ล้มเหลวแบบปิดสำหรับแอปที่ห้ามใช้เส้นทางในเครื่อง และอนุญาตการท่องเว็บปกติที่อยู่นอกอุโมงค์หากยอมรับได้

จดบันทึกตัวเลือก เพราะค่าเริ่มต้นในไคลเอนต์ส่วนใหญ่ไม่ใช่ทั้งสองอย่าง และแตกต่างตามเวอร์ชัน จากนั้นจัดเตรียมเส้นทางเข้าถึงสำรองหากความพร้อมใช้งานสำคัญ เช่น ฮอตสปอตโทรศัพท์ที่มีแพ็กเกจข้อมูลของตนเอง การทดสอบการยอมรับที่ใช้ได้มีสามผลลัพธ์แยกกัน: ทราฟฟิกที่ตั้งใจใช้ใช้อุโมงค์ที่ตรวจสอบแล้ว ผู้ฟังในเครื่องที่ไม่เกี่ยวข้องเข้าถึงไม่ได้ และการขาดการเชื่อมต่อสร้างพฤติกรรมที่คุณเลือก