Ortak PC'de tek VPN oturumu: rotayı başka kim alıyor?
VPN oturumu bir kişiyi doğrular; kurduğu rota başka bir kapsamdır. Ortak makinede ana makine geneli, kullanıcı başına ve uygulama başına tünelleri karşılaştırın.
Bir iş istasyonunu paylaşmak, tek kullanıcılı bir dizüstü bilgisayarın hiç yanıtlamak zorunda olmadığı bir soruyu doğurur: bir kişi tüneli doğruladıktan sonra başka kim kullanabilir? Oturum açma bir özne tanımlar, kurulan rota ise bir kapsam betimler ve bunlar aynı nesne değildir. Aralarında işletim sistemi, istemci yapılandırması ve özel servisin kendi başına istediği şeyler vardır. Yaptırım noktalarını karşılaştırmak soruyu tahmin etmeden yanıtlamanın tek yoludur.
Tek oturum, birkaç kapsam
Kimlik doğrulama kimi içeri alındığını yanıtlar. Rota hangi paketlerin tünelden çıkabileceğini yanıtlar. Yetkilendirme ise hangi servisin oluşan bağlantıyı kabul edeceğini yanıtlar ve üçünden hiçbiri diğerini gerektirmez.
Ana makine geneli tünel yaygın varsayılandır ve boşluğu belirgin kılar. Rota çekirdek tablosunda durur, bu yüzden o tabloyu kullanan her süreç özel ağa ulaşabilir; VPN penceresini hiç görmemiş bir kullanıcının başlattığı süreç de buna dahildir. Bu tünelin kusuru değil; sistem geneli bir rotanın anlamı budur. Özel servis bağlantıyı yine de reddedebilir, bu yüzden erişilebilirlik ve izin ayrı yanıtlar gerektirir.
Dört soruyu testten önce yazmak, incelemenin bunlardan birine indirgenmesini önler.
Sınır Gerçekte Nerede
Dört düzen çoğu makineyi kapsar: ana makine geneli tünel, kullanıcı başına bağlantı, uygulama başına izin listesi ve ayrı ağ ad alanı ya da sanal makine.
Her biri yaptırım noktasını başka bir yere koyar ve farklar etiketlerden daha önemlidir. Kullanıcı başına bağlantı profil izinleriyle uygulanır, masaüstü oturum açma ekranıyla değil. Uygulama başına izin listesi istemcinin içinde uygulanır; neyi taşıyacağına istemci karar verir. Ad alanı ya da VM, arabirim sınırında uygular; içerideki süreç ana makinenin rotasını hiç görmez. Makinedeki oturum açma ekranlarının sayısı bunların hiçbiri hakkında bir şey söylemez.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Tabloyu satır satır okumak, gerçek sorunun yalıtım olup olmadığı değil, nerede uygulandığı olduğunu gösterir.
Dört Yaptırım Noktasını Karşılaştırın
Linux'ta ilk incelenecek şey rota tablosudur, çünkü ana makine geneli tünel orada görünür, ad alanı görünmez. Aramayı ikinci kullanıcı olarak çalıştırmak insanların atladığı adımdır; yanıt kendileri olarak aldıklarından farklıdır ve bu raporu açıklar.
Sonraki iki kontrol yönlendirmeye değil ilkeye bakar. Bir UID ile eşleşen güvenlik duvarı kuralı yerelde üretilen trafiğe uygulanır, bu yüzden ikisi de rotayı paylaşsa bile tek bir ana makinedeki iki kullanıcıyı ayırabilir. Açık izin listesi olan bağlantı profili etkinleştirme sırasında ağ yöneticisi tarafından uygulanır. Kontrollerin hiçbiri tünelin değişmesini gerektirmez, bu yüzden herhangi bir yeniden tasarımdan önce yapmaya değer.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidİkinci arama tünelin rotasını gösteriyorsa sınır, tasarımın varsaydığı yerde değildir.
Eşzamanlı Oturum Kuralları Ayrı Bir Denetimdir
Ağ geçitleri genellikle bir hesabın kaç oturum tutabileceğini sınırlar ve bu sınırın yerel kullanıcılarla ilgisi yoktur. Hesabı sınırlar, bu yüzden aynı kimlik bilgileriyle oturum açan ikinci kişi birincinin tünelini sonlandırabilir.
Yerel bir yalıtım sorunu varsaymadan önce hatayı okuyun. Oturum sınırı ağ geçidinde bir kopma üretir, kapsam sorunu ise çalışan ama diğer kullanıcının trafiğini taşımayan bir tünel üretir. Bu iki belirti tamamen farklı düzeltmelere götürür. İstemcinin tam mesajını saklayın, çünkü genellikle kuralı adlandırır. Sınırı dolanmak yerine profil sahibinden onaylı iş akışını isteyin.
Sanal makine kimseyi bu kuraldan muaf tutmaz ve kendi ağ ve kimlik bilgisi tasarımını ekler.
Önemsediğiniz Bağlamı Test Edin
Amaçlanan kullanıcıyı ve uygulamayı test edin, sonra reddedilmesi gereken bir bağlamı test edin. Yalnızca özgün parolanın çalıştığını kanıtlayan bir inceleme kimlik doğrulamayı test etmiştir, başka bir şeyi değil.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Her sonucun yanına yaptırım noktasını yazın: rota tablosu, bir UID kuralı, bir profil izni veya ağ geçidinin oturum ilkesi. Bu kayıt sonraki değişikliği incelenebilir kılar. Ayrıca biri ikinci bir oturum açma ekranı fark ettiğinde aynı sorunun yeniden açılmasını önler. Erişilebilirlik yetkilendirme değildir ve ikisi de yalıtım değildir.