Pinagsasaluhang VPN account: hindi isolation ng kliyente ang limitasyon ng device

Ang walong sabay na koneksyon ay isang bilang mula sa pahina ng lisensya, at wala itong sinasabi tungkol sa kung ano ang magagawa ng walong device na iyon sa isa't isa. Ang pinagsasaluhang pag-login ay maaaring mabuhay kasama ng mga key bawat sesyon, at maaari rin itong mabuhay kasama ng gateway na masayang nagpapasa ng trapiko ng isang kliyente sa iba. Ang pagkakamali ay ituring ang account na hangganan ng seguridad. Sa halip, magtanong ng apat na hiwalay na tanong: ano ang binili, ano ang nagpoprotekta sa tunnel, ano ang maaaring tumawid sa pagitan ng mga peer, at ano ang makakapagpabagsak sa lokal na link.

Ano ang tunay na ipinangangako ng permiso sa koneksyon

Binibilang ng limitasyon ng device kung ilang sesyon ang tatanggapin ng provider para sa isang subscription. Ito ay kontrol sa komersyo at operasyon, hindi pahayag tungkol sa pagkakakilanlan o isolation. May mga provider na naglalabas ng hiwalay na sertipiko para sa bawat device sa ilalim ng isang account; ang iba ay gumagamit muli ng isang kredensyal sa bawat koneksyon. Lumilitaw ang pagkakaiba sa pagbawi, dahil ang hiwalay na kredensyal ay nagpapahintulot na putulin ang isang device, samantalang ang pinagsasaluha ay hindi nag-iiwan ng ganoong opsyon.

Basahin kung paano naglalabas ng kredensyal ang provider bago magpalagay ng anuman tungkol sa paghihiwalay ng key. Ang pangalan ng account mismo ay walang inilalantad tungkol doon.

Suriin kung nagpapasa ang gateway sa pagitan ng mga kliyente

Ang pag-abot sa pagitan ng mga peer ay desisyon sa panig ng server. Sa OpenVPN wala ang kaugnay na switch maliban kung lumilitaw ito sa configuration, ngunit binabago ng makabagong data-plane offload kung saan ipinapatupad ang tuntunin.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Ang configuration na walang direktibang iyon ay nag-iiwan ng trapiko sa pagitan ng peer sa firewall ng host, na maaari pang pahintulutan ito. Kapag aktibo ang offload, ang kernel ang humahawak sa tunnel interface sa halip na ang proseso sa user space, kaya tiyakin ang mga counter ng tuntunin sa halip na magtiwala sa file. Ang pagharang sa ipinapasang trapiko sa pagitan ng mga address ng tunnel ay naghihiwalay sa mga kliyente nang hindi hinahawakan ang kanilang pag-access sa gateway. Kumpirmahin ito sa pamamagitan ng pagsubok mula sa isang kliyente patungo sa serbisyo sa isa pa, bago at pagkatapos ng tuntunin.

Protektahan ang sesyon bago ang mga peer

Ang proteksyon ng tunnel at pag-access ng peer ay magkaibang katangian, at ang matibay na cipher ay hindi nangangahulugang isolation. Sa TLS mode, ang bawat kliyente ay kumukuha ng sarili nitong mga key ng sesyon, kaya hindi mababasa ng isang kliyente ang trapiko ng iba kahit ipinapasa ito ng gateway. Ang lumang kaayusan na may static na key ay nagbabahagi ng isang key sa lahat, kaya mas malala ang kahihinatnan ng muling paggamit ng login doon. Suriin ang naka-configure na mode at hindi ang pahina ng marketing, pagkatapos hatulan kung ang pagbabahagi ng account ay umaangkop sa datos na kasangkot.

Mahalaga pa rin ang pagpapatotoo ng serbisyo sa bawat host, dahil pinatutunayan lamang ng tunnel na naabot ng kliyente ang network, hindi na dapat nitong maabot ang isang partikular na daemon.

Ang mga pagpalya ng lokal na Wi-Fi ay hindi kompromiso ng VPN

Ang naputol na koneksyon ay nagpapatunay na nabigo ang lokal na link, hindi na may sumira ng tunnel. Ang interference, nawalang DHCP lease at roaming handoff ay pawang nagtatapos ng sesyon nang hindi hinahawakan ang kredensyal o ciphertext. Ituring ang pagkadiskonekta bilang natuklasan tungkol sa availability at ihiwalay ito sa mga natuklasan tungkol sa confidentiality at pag-access ng peer. Kung saan hindi mapagkakatiwalaan ang lokal na network, protektahan ang trapiko mula sa dulo hanggang dulo sa halip na umasa lamang sa tunnel.

Isulat ang apat na sagot: permiso, modelo ng key, patakaran sa peer at pagdepende sa lokal na link. Ang talaan na iyon ay ginagawang tiyak na kontrol ang malabong pag-aalala tungkol sa pinagsasaluhang account.