Paylaşılan bir TAP VPN neden hâlâ portalda HTTPS gerektirir
TAP VPN eşi doğrular, arkasındaki hizmeti değil. Ana makine adı doğrulamasını portalda tutun ve güvenmediğiniz komşuları yalıtın.
İki cihaz geçerli VPN kimlik bilgilerine sahiptir ve tek bir köprülenmiş Ethernet segmentini paylaşır. Bunlardan yalnızca biri ofis portalı adına yanıt vermelidir ve diğeri hâlâ o segmentte portal adresini talep edebilir. Tünel işini yaptı: her iki eşi de doğruladı ve sunucuya giden her yolu şifreledi. Yapmadığı şey, hangisinin bir hizmet adına sahip olduğunu onaylamaktı ve portalın hâlâ geçerli bir sertifikaya ihtiyaç duymasının nedeni tam olarak bu boşluktur.
VPN aslında neyi doğrular
VPN el sıkışması tek bir soruyu yanıtlar: hangi eş bu tüneli hangi anahtar malzemesiyle tamamladı. Bu yanıt her eş ve her bağlantı için geçerlidir ve o eşin sonradan sunduğu hizmetler hakkında hiçbir şey söylemez. TAP segmentinde eş tek bir adres bile değildir, çünkü köprünün öğrenmeye istekli olduğu herhangi bir MAC ve herhangi bir IP'yi sunabilir. Kimlik doğrulama tünelin ucunda durur, uygulamada değil.
Üç soruyu bir taneye birleştirmek yerine ayırın. Her birinin kendi mekanizması ve kendi başarısızlık biçimi vardır.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Bir dağıtımda kusursuz doğrulanmış bir tünel ve arkasında tamamen doğrulanmamış bir hizmet olabilir. Ayrıca ikinci katman adresi başka bir eş tarafından talep edilen bir ana makinede doğrulanmış sertifika da olabilir, bu yüzden iki denetim de tasarımda yer almalıdır, biri diğerinin yerine geçmemelidir. Tablo, üç satırda tüm argümandır.
Paylaşılan segmentte ARP bir dizin değildir
ARP yerel bağlantıda bir IPv4 adresini MAC ile eşler ve o bağlantıdaki herkesten yanıt kabul eder. İzin verici köprülenmiş bir segmentte eş, başka bir cihaza ait adresi talep edebilir ve köprü çerçeveleri en son yanıt verene iletir. Her istemci yolunun sunucuya şifrelenmesi bunu değiştirmez, çünkü çerçeveler köprüye ulaşmadan önce şifreleri çözülür. ARP'nin güven sınırı tünel değil segmenttir.
Ana makinenin gerçekte ne öğrendiğine bakın: ip neigh show mevcut eşlemeleri ve durumlarını listeler ve normal çalışma sırasında iki MAC adresi arasında gidip gelen bir kayıt, göz ardı edilmek yerine araştırılmaya değer bir belirtidir. Sağlıklı küçük bir segmentte bu tür kayıtlar uzun süre kararlı kalır.
Eş yalıtımı ve köprü ilkesi tam olarak bu durum için vardır. Hizmet yalnızca IP olduğunda ve cihazların birbirlerinin çerçevelerini görmek için hiçbir nedeni olmadığında yönlendirilmiş tasarım genellikle daha iyi yanıttır.
Sertifika doğrulamasını hizmetin bulunduğu yerde tutun
Uygulamanın TLS'i tünelin yanıtlayamadığı soruya yanıt verir: ulaşmak istediğim hizmet bu mu. Tarayıcı ana makine adını sertifikaya karşı denetler ve bu denetim zincirin eşi değil portalı adlandıran tek parçasıdır.
Uyarının yalnızca görsel olduğuna karar vermeden önce sunucunun ne sunduğunu inceleyin. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal zinciri ve konunun alternatif adlarını yazdırır. Yazdığınız ad bu listede yoksa uyarı doğrudur ve düzeltilmesi gereken şey sertifikadır. Kullanıcılara onu atlamayı öğretmek, çalışan bir denetimi süslemeye dönüştürür.
OpenVPN köprüleme kılavuzu Ethernet modelini ve çevresindeki ilke seçeneklerini açıklar ve segmentin neye izin vermesi gerektiği için doğru kaynaktır. Bir köprü kuralını gevşetmeden önce onu okuyun, çünkü açıkladığı model yukarıdaki her denetimin varsaydığı şeydir.
O eşlerin bir segmenti paylaşıp paylaşmaması gerektiğine karar verin
En ucuz düzeltme genellikle gereksinim yalnızca IP erişilebilirliği olduğunda ikinci katmanı paylaşmayı bırakmaktır. Yönlendirilmiş bir VPN her istemciye kendi adresini verir, paylaşılan yayın alanını kaldırır ve eşler arası trafiği varsayılan yerine bir ilke kararına dönüştürür. O zaman portalın koruyacağı tek bir adresi olur ve onu talep edebilecek bir komşusu kalmaz.
Segment kalması gerekiyorsa, istemcilerin birbirlerine ulaşmasını sağlayan sunucu tarafı ayarını denetleyin: grep -n client-to-client /etc/openvpn/server.conf. Devre dışıyken istemci trafiği sunucudan geçer ve orada filtrelenebilir. Etkinleştirildiğinde eşler çerçeveleri doğrudan köprü üzerinden değişir ve filtreleme noktalarınız köprü ile ana makinenin güvenlik duvarıdır.
Her ana makinenin gerçekte hangi korumalara dayandığını yazın: tünel kimlik doğrulaması, segment yalıtımı veya uygulama TLS'i. Üçüne de dayanan bir ana makine sorun değildir. Yalnızca ilkine dayanıp diğer ikisinin onunla birlikte geldiğini varsayan ana makine, sonunda yanlış içeriği sunan cihazdır.