บัญชี VPN ที่ใช้ร่วมกัน: ขีดจำกัดอุปกรณ์ไม่ใช่การแยกไคลเอนต์

การเชื่อมต่อพร้อมกันแปดรายการเป็นตัวเลขจากหน้าสัญญาอนุญาต และไม่ได้บอกอะไรเกี่ยวกับสิ่งที่อุปกรณ์แปดเครื่องนั้นทำต่อกันได้ การเข้าสู่ระบบร่วมกันสามารถอยู่ร่วมกับคีย์แยกตามเซสชัน และยังอยู่ร่วมกับเกตเวย์ที่ส่งทราฟฟิกของไคลเอนต์รายหนึ่งไปยังอีกรายอย่างเต็มใจได้ ความผิดพลาดคือการถือว่าบัญชีเป็นเส้นแบ่งความปลอดภัย ให้ถามคำถามแยกกันสี่ข้อแทน: ซื้ออะไร การป้องกันอุโมงค์คืออะไร อะไรข้ามระหว่างเพียร์ได้ และอะไรทำให้ลิงก์ภายในล่มได้

การอนุญาตเชื่อมต่อสัญญาอะไรจริง ๆ

ขีดจำกัดอุปกรณ์นับว่าผู้ให้บริการจะรับเซสชันกี่รายการต่อการสมัครสมาชิกหนึ่งรายการ นี่คือการควบคุมเชิงพาณิชย์และการปฏิบัติการ ไม่ใช่ถ้อยแถลงเกี่ยวกับตัวตนหรือการแยก ผู้ให้บริการบางรายออกใบรับรองแยกต่ออุปกรณ์ภายใต้บัญชีเดียว รายอื่นใช้ข้อมูลรับรองชุดเดียวซ้ำในทุกการเชื่อมต่อ ความแตกต่างจะปรากฏตอนเพิกถอน เพราะข้อมูลรับรองแยกกันทำให้ตัดอุปกรณ์หนึ่งเครื่องได้ ขณะที่ชุดร่วมกันไม่เหลือตัวเลือกนั้นให้

อ่านว่าผู้ให้บริการออกข้อมูลรับรองอย่างไรก่อนสันนิษฐานสิ่งใดเกี่ยวกับการแยกคีย์ ชื่อบัญชีเองไม่ได้เปิดเผยสิ่งใดในนั้น

ตรวจสอบว่าเกตเวย์ส่งต่อระหว่างไคลเอนต์หรือไม่

การเข้าถึงระหว่างเพียร์เป็นการตัดสินใจฝั่งเซิร์ฟเวอร์ บน OpenVPN สวิตช์ที่เกี่ยวข้องจะไม่มี เว้นแต่ปรากฏในคอนฟิกูเรชัน แต่การออฟโหลดระนาบข้อมูลสมัยใหม่เปลี่ยนตำแหน่งที่บังคับใช้กฎ

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

คอนฟิกูเรชันที่ไม่มีคำสั่งนั้นปล่อยทราฟฟิกระหว่างเพียร์ให้ไฟร์วอลล์ของโฮสต์ ซึ่งอาจยังอนุญาตอยู่ เมื่อออฟโหลดทำงานอยู่ เคอร์เนลจัดการอินเทอร์เฟซอุโมงค์แทนโปรเซสในพื้นที่ผู้ใช้ จึงให้ตรวจสอบตัวนับกฎแทนการเชื่อถือไฟล์ การบล็อกทราฟฟิกที่ส่งต่อระหว่างที่อยู่อุโมงค์แยกไคลเอนต์โดยไม่แตะการเข้าถึงเกตเวย์ของพวกเขา ยืนยันด้วยการทดสอบจากไคลเอนต์หนึ่งไปยังบริการบนอีกเครื่อง ทั้งก่อนและหลังกฎ

ปกป้องเซสชันก่อนเพียร์

การป้องกันอุโมงค์และการเข้าถึงระหว่างเพียร์เป็นคุณสมบัติที่ต่างกัน และการเข้ารหัสที่แข็งแรงไม่ได้หมายถึงการแยก ในโหมด TLS ไคลเอนต์แต่ละรายสร้างคีย์เซสชันของตนเอง ดังนั้นไคลเอนต์หนึ่งอ่านทราฟฟิกของอีกรายไม่ได้แม้เกตเวย์จะส่งต่อ การจัดวางคีย์แบบคงที่แบบเก่าแบ่งคีย์เดียวให้ทุกคน จึงทำให้การใช้ข้อมูลเข้าสู่ระบบซ้ำที่นั่นมีผลร้ายกว่ามาก ตรวจสอบโหมดที่ตั้งค่าไว้แทนหน้าตลาด แล้วจึงตัดสินว่าการใช้บัญชีร่วมเหมาะกับข้อมูลที่เกี่ยวข้องหรือไม่

การยืนยันตัวตนของบริการบนโฮสต์แต่ละเครื่องยังสำคัญ เพราะอุโมงค์พิสูจน์เพียงว่าไคลเอนต์ไปถึงเครือข่ายได้ ไม่ได้พิสูจน์ว่าควรไปถึงเดมอนใดเดมอนหนึ่ง

ความล้มเหลวของ Wi-Fi ภายในไม่ใช่การถูกเจาะ VPN

การเชื่อมต่อที่ขาดหายพิสูจน์ว่าลิงก์ภายในล้มเหลว ไม่ใช่มีใครเจาะอุโมงค์ การรบกวน สัญญาเช่า DHCP ที่หลุด และการส่งต่อขณะโรมมิ่ง ล้วนจบเซสชันโดยไม่แตะข้อมูลรับรองหรือข้อความที่เข้ารหัส ให้ถือการตัดการเชื่อมต่อเป็นข้อค้นพบด้านความพร้อมใช้งาน และแยกไว้จากข้อค้นพบด้านความลับและการเข้าถึงระหว่างเพียร์ ที่ใดเครือข่ายภายในไม่น่าเชื่อถือ ให้ปกป้องทราฟฟิกตั้งแต่ต้นทางถึงปลายทางแทนการพึ่งอุโมงค์เพียงอย่างเดียว

จดคำตอบทั้งสี่ไว้: การอนุญาต โมเดลคีย์ นโยบายเพียร์ และการพึ่งพาลิงก์ภายใน บันทึกนั้นเปลี่ยนความกังวลที่คลุมเครือเกี่ยวกับบัญชีร่วมให้เป็นการควบคุมที่ชัดเจน