Paylaşılan VPN hesabı: cihaz sınırı istemci yalıtımı değildir

Sekiz eşzamanlı bağlantı, bir lisans sayfasından gelen bir sayıdır ve bu sekiz cihazın birbirine ne yapabileceği hakkında hiçbir şey söylemez. Paylaşılan bir oturum açma, oturum başına anahtarlarla bir arada var olabilir ve bir istemcinin trafiğini memnuniyetle diğerine aktaran bir geçitle de bir arada var olabilir. Hata, hesabı güvenlik sınırı saymaktır. Bunun yerine dört ayrı soru sorun: ne satın alındı, tüneli ne koruyor, eşler arasında ne geçebilir ve yerel bağlantıyı ne düşürebilir.

Bir bağlantı izni gerçekte ne vaat eder

Cihaz sınırı, sağlayıcının tek bir abonelik için kaç oturum kabul edeceğini sayar. Bu ticari ve operasyonel bir denetimdir, kimlik ya da yalıtım hakkında bir beyan değildir. Bazı sağlayıcılar tek bir hesap altında her cihaz için ayrı sertifika verir; diğerleri her bağlantıda aynı kimlik bilgisini yeniden kullanır. Fark iptal sırasında ortaya çıkar, çünkü ayrı kimlik bilgileri bir cihazı kesmenize izin verir, paylaşılan ise size bu seçeneği bırakmaz.

Anahtar ayrımı hakkında bir şey varsaymadan önce sağlayıcının kimlik bilgilerini nasıl verdiğini okuyun. Hesabın adı bunlardan hiçbirini açığa vurmaz.

Geçidin istemciler arasında aktarım yapıp yapmadığını kontrol edin

Eşler arası erişilebilirlik sunucu tarafında verilen bir karardır. OpenVPN üzerinde ilgili anahtar yapılandırmada görünmedikçe yoktur, ancak modern veri düzlemi boşaltması kuralın nerede uygulandığını değiştirir.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Bu yönerge olmayan bir yapılandırma, eşler arası trafiği ana makinenin güvenlik duvarına bırakır ve o hâlâ buna izin verebilir. Boşaltma etkinken tünel arayüzünü kullanıcı alanı süreci yerine çekirdek yönetir, bu yüzden dosyaya güvenmek yerine kural sayaçlarını doğrulayın. Tünel adresleri arasında iletilen trafiği engellemek, istemcilerin geçide erişimine dokunmadan onları yalıtır. Bunu bir istemciden diğerindeki bir hizmete yapılan denemeyle, kuraldan önce ve sonra doğrulayın.

Oturumu eşlerden önce koruyun

Tünel koruması ve eş erişimi farklı özelliklerdir ve güçlü bir şifreleme yalıtım anlamına gelmez. TLS kipinde her istemci kendi oturum anahtarlarını türetir, böylece geçit onu ilettiğinde bile bir istemci diğerinin trafiğini okuyamaz. Eski statik anahtar düzeni tek bir anahtarı herkes arasında paylaşır, bu yüzden orada oturum açmayı yeniden kullanmanın sonuçları çok daha ağırdır. Pazarlama sayfasını değil yapılandırılmış kipi inceleyin, sonra hesap paylaşımının söz konusu verilere uygun olup olmadığını değerlendirin.

Her ana makinede hizmet kimlik doğrulaması hâlâ önemlidir, çünkü tünel yalnızca bir istemcinin ağa ulaştığını kanıtlar, belirli bir sunucu sürecine ulaşması gerektiğini değil.

Yerel Wi-Fi arızaları VPN ihlali değildir

Kopmuş bir bağlantı yerel bağlantının başarısız olduğunu kanıtlar, birinin tüneli kırdığını değil. Girişim, kaybedilen DHCP kiralaması ve dolaşım sırasında devir, hepsi kimlik bilgilerine ya da şifreli metne dokunmadan oturumu bitirir. Bağlantı kesilmesini bir kullanılabilirlik bulgusu olarak ele alın ve gizlilik ile eş erişimi bulgularından ayrı tutun. Yerel ağın güvenilir olmadığı yerlerde, yalnızca tünele yaslanmak yerine trafiği uçtan uca koruyun.

Dört yanıtı yazın: izin, anahtar modeli, eş ilkesi ve yerel bağlantıya bağımlılık. Bu kayıt, paylaşılan hesap konusundaki belirsiz kaygıyı somut denetimlere dönüştürür.