Isang Login sa VPN sa Pinagsasaluhang PC: Sino Pa ang Nakakakuha ng Ruta?

Ang pagbabahagi ng workstation ay nagtatampok ng tanong na hindi kailangang sagutin ng laptop para sa isang user: kapag napatunayan na ng isang tao ang tunnel, sino pa ang makakagamit nito? Tinutukoy ng login ang isang paksa, at inilalarawan ng rutang ini-install ang isang saklaw, at hindi magkapareho ang dalawang ito. Sa pagitan nila naroon ang operating system, ang configuration ng kliyente at ang hinihingi ng pribadong serbisyo sa sarili nito. Ang paghahambing ng mga punto ng pagpapatupad ang tanging paraan upang sagutin nang hindi nanghuhula.

Isang Login, Maraming Saklaw

Sinasagot ng authentication kung sino ang pinapasok. Sinasagot ng ruta kung aling mga packet ang maaaring lumabas sa tunnel. Sinasagot ng authorization kung aling serbisyo ang tatanggap sa resultang koneksyon, at wala sa tatlo ang nangangahulugan ng susunod.

Ang tunnel para sa buong host ang karaniwang default, at ginagawang halata ang puwang. Nasa talahanayan ng kernel ang ruta, kaya bawat prosesong gumagamit ng talahanayang iyon ay makakaabot sa pribadong network, kasama ang isang sinimulan ng user na hindi kailanman nakakita ng diyalogo ng VPN. Hindi ito depekto ng tunnel; ito ang ibig sabihin ng rutang pang-buong sistema. Maaari pa ring tanggihan ng pribadong serbisyo ang koneksyon, kaya kailangan ng magkahiwalay na sagot ang maabot at ang pahintulot.

Ang pagsusulat ng apat na tanong bago ang pagsubok ay pumipigil sa pagsusuri na maging isa lamang sa kanila.

Nasaan Talaga ang Hangganan

Apat na kaayusan ang sumasaklaw sa karamihan ng makina: tunnel para sa buong host, koneksyon bawat user, listahan ng pinapayagan bawat app, at hiwalay na network namespace o virtual machine.

Inilalagay ng bawat isa ang punto ng pagpapatupad sa ibang lugar, at mas mahalaga ang mga pagkakaiba kaysa sa mga label. Ang koneksyon bawat user ay ipinapatupad ng mga pahintulot ng profile, hindi ng login screen ng desktop. Ang listahan ng pinapayagan bawat app ay ipinapatupad sa loob ng kliyente, na nagpapasya kung ano ang dadalhin. Ang namespace o VM ay nagpapatupad sa hangganan ng interface, kaya ang proseso sa loob ay hindi makikita ang ruta ng host. Ang bilang ng login screen sa makina ay walang sinasabi tungkol sa alinman sa kanila.

Ang pagbasa ng talahanayan nang pahaba ay nagpapakita na ang tunay na tanong ay hindi kung may paghihiwalay, kundi kung saan ito ipinatupad.

Ihambing ang Apat na Punto ng Pagpapatupad

Sa Linux, ang talahanayan ng ruta ang unang dapat suriin, dahil lumilitaw doon ang tunnel para sa buong host at hindi ang namespace. Ang pagpapatakbo ng paghahanap bilang ikalawang user ang hakbang na nilalaktawan ng mga tao; naiiba ang sagot sa nakuha nila bilang sila mismo, at iyon ang nagpapaliwanag sa ulat.

Tinitingnan ng susunod na dalawang pagsusuri ang patakaran, hindi ang routing. Ang tuntunin ng firewall na tumutugma sa UID ay nalalapat sa trapikong nalikha sa lokal, kaya maaari nitong paghiwalayin ang dalawang user sa isang host kahit pareho silang nagbabahagi ng ruta. Ang profile ng koneksyon na may malinaw na listahan ng pahintulot ay ipinapatupad ng tagapamahala ng network kapag in-activate. Wala sa mga pagsusuri ang nangangailangan ng pagbabago sa tunnel, kaya sulit gawin ang mga ito bago magdisenyo muli ng anuman.

ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuid

Kung ipinapakita ng ikalawang paghahanap ang ruta ng tunnel, wala ang hangganan sa inakala ng disenyo.

Ang Mga Tuntunin sa Sabay na Session ay Hiwalay na Kontrol

Madalas limitahan ng mga gateway kung ilang session ang maaaring hawakan ng isang account, at walang kinalaman ang limitasyong iyon sa mga lokal na user. Nililimitahan nito ang account, kaya ang ikalawang tao na mag-log in gamit ang parehong kredensyal ay maaaring tapusin ang tunnel ng una.

Basahin ang kabiguan bago ipagpalagay na lokal na problema sa paghihiwalay ito. Ang limitasyon sa session ay nagdudulot ng pagputol sa gateway, samantalang ang problema sa saklaw ay nagdudulot ng gumaganang tunnel na hindi lamang dinadala ang trapiko ng kabilang user. Ang dalawang sintomas na iyon ay humahantong sa magkaibang-ibang pagwawasto. Itago ang eksaktong mensahe ng kliyente, dahil karaniwang pinapangalanan nito ang tuntunin. Hilingin sa may-ari ng profile ang aprubadong daloy ng trabaho sa halip na lusutan ang limitasyon.

Hindi sinasaklaw ng virtual machine ang sinuman sa tuntuning iyon, at nagdadagdag ito ng sariling disenyo ng network at kredensyal.

Subukan ang Kontekstong Mahalaga sa Iyo

Subukan ang inilaan na user at app, pagkatapos subukan ang kontekstong dapat tanggihan. Ang pagsusuring nagpapatunay lamang na gumagana ang orihinal na password ay sinubukan ang authentication at wala nang iba.

sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'

Itala ang punto ng pagpapatupad sa tabi ng bawat resulta: ang talahanayan ng ruta, isang tuntunin ng UID, isang pahintulot ng profile o ang patakaran sa session ng gateway. Ginagawang masusuri ang susunod na pagbabago ng talaang iyon. Pinipigilan din nito ang parehong tanong na muling buksan tuwing may makapansin ng ikalawang login screen. Ang maabot ay hindi pahintulot, at wala sa dalawa ang paghihiwalay.