Halka açık Wi-Fi ve VPN: tünelin kapsamadığı şeyler

Yeşil rozet, memnun portal, çalışan tarayıcı: görünen hikâyenin tamamı bu. Rozetin atladığı şey, şifreli bağlantının sizi koruması gereken kablosuz bağlantının kendisi tarafından taşınmasıdır. O bağlantı hâlâ her paketi iletir, hedef adresini hâlâ görür ve bir şeyin ulaşıp ulaşmayacağına hâlâ karar verir. Bir otel bağlantısının dizüstü tarafını incelemek, tünelin hangi parçaları kapsadığını ve hangilerini size bıraktığını gösterir.

Erişim bağlantısı her şeyi taşır

IPsec ESP tüneli, korunan iç paketi ağın yönlendirebileceği bir dış başlığın içine sarar ve RFC 4303 bölüm 3.1.2 bu ayrımı açıklar. İç paket tünelin koruduğu şeydir. Dış başlık, hotspot'un onu iletmek için okuduğu şeydir. Diğer tasarımlar farklı biçimde kapsüller, ancak planlama sorusu aynıdır: bu bağlantıyı hangi erişim yolu taşıyor?

Ağ geçidi arızası veya paket düşüren bir bağlantı, içeriği açığa çıkarmadan teslimatı durdurur. Daha güçlü bir şifreye geçmek buna yardımcı olmaz, çünkü eksik parça kriptografi değil taşımadır. Başarılı teslimat diğer yönde de aynı derecede az şey kanıtlar, çünkü çalışan bir yol iki makinenin hiçbirinin durumu hakkında bir şey söylemez.

Dizüstü bilgisayarınızın hâlâ kendi kapıları var

Güvenilmeyen bir segmente katılmak, makinenizin dinlediği bağlantı noktalarına kimin erişebileceğini değiştirir. Dosya paylaşım hizmeti, uzaktan yönetim aracısı veya tüm arabirimlere bağlı bir geliştirme sunucusu, bir şey durdurmadıkça o segmentteki herkes tarafından erişilebilir. Tünele hiç girmeyen trafik onunla korunmaz. Tünel kalkmadan önce yanıt veren bir dinleyici tam olarak o pencere için açıktadır.

Gereksinim dar ve tam olarak ifade edilmeye değer: dizüstü VPN uç noktasına ulaşmalı ve hotspot'taki ilgisiz cihazlar yerel hizmetlere ulaşmamalıdır. Ana makine güvenlik duvarı kuralları bu sınırı ifade eder, platformun kendi paylaşım ayarları da bunun bir bölümünü ifade eder. Yazıcı veya portal adımı, bilerek eklediğiniz sınırlı bir istisnadır; tüm hotspot'un ofis LAN güvenine layık olduğunun kanıtı değildir.

Bazı kuruluşlar iş bağlantısı etkinken yerel erişimi de kısıtlar; bu mühendislik değil politikadır. Bir çevre biriminin çalışması için güvenlik duvarını devre dışı bırakmadan önce bu politikayı okuyun.

Gerçekte neyin dinlediğini kontrol edin

Ayar sayfasına değil soketlere bakın, çünkü sayfa niyeti, soket tablosu ise makineyi tanımlar. Aşağıdaki iki liste, dinleyen her soketi komşunun erişebileceği soketlerden ayırır. Tüneli bağlamadan önce bunları güvenilmeyen segmentte çalıştırın.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

İlk komut her soketi gösterir, ikincisi loopback dışına bağlı olanları süzer. 0.0.0.0 veya :: üzerindeki hizmet kablosuz olan da dâhil her arabirimde kullanılabilir; aynı hizmet 127.0.0.1 üzerinde segmentten hiç erişilemez. Çözümleyici sorgusu, tünel var olmadan önce adın hangi yolu izlediğini doğrular ve yakalanmış portallar tam orada araya girer. Bağlandıktan sonra listeyi yineleyin, çünkü bazı istemciler yanıtı değiştiren arabirimler kaldırır.

Yalnızca tünel açıkken görünen bağlantı noktası daha az açıktadır, yine de bilinmeye değer. Mutlak listeyi değil farkı kaydedin, çünkü tünelin eklediği şey deltadır.

Oturum ortasında yeni bir kimlik kabul etmeyin

Beklenmeyen bir rota değişikliği, yeniden bağlanma veya portal yönlendirmesi, farklı bir sunucu kimliğini kabul etme izni değildir. İstemci bir sertifika veya anahtar uyuşmazlığı bildirirse bunu atlatılacak bir bağlantı değil, bir kimlik bulgusu olarak ele alın. Bir portalın çalışması için açıklanamayan bir kök sertifika kurmak, teslimat sorununu güven sorununa dönüştürür. Sonra güven sorunu, onu yaratan yolculuktan daha uzun yaşar.

Portalın kendi tarayıcı akışını kullanın, ardından tüneli yeniden bağlayın ve istemci günlüğünde hangi kimliği doğruladığını okuyun. Kimlik hatası, karşı tarafın beklediğiniz kişi olmadığı anlamına gelir; teslimat hatası ise karşı tarafın hiç yanıt vermediği anlamına gelir. Birincisi durmak için, ikincisi başka bir yolu denemek için bir nedendir.

Önce kesinti davranışına karar verin

Burada iki farklı özellik karıştırılır. Yeniden bağlanma hizmeti geri yüklemeye çalışır; engelleme politikası ise tünel kapalıyken hangi trafiğe izin verildiğini denetler. Hiçbiri çalışan bir kablosuz bağlantı sağlamaz ve hiçbiri uç noktanın temiz olduğunu kanıtlamaz. Açıkça seçin: yerel yolu asla kullanmaması gereken uygulamalar için kapalı başarısızlık ve kabul edilebilirse tünel dışında olağan gezinmeye izin verin.

Seçimi yazın, çünkü çoğu istemcide varsayılan ikisi de değildir ve sürüme göre değişir. Ardından kullanılabilirlik önemliyse, kendi veri planı olan bir telefon hotspot'u gibi alternatif bir erişim yolu hazırlayın. Kabul edilebilir bir kabul testinin üç ayrı sonucu vardır: amaçlanan trafik doğrulanmış tüneli kullanır, ilgisiz yerel dinleyiciler erişilemez ve kesinti seçtiğiniz davranışı üretir.