Umumiy kompyuterda bitta VPN kirishi: marshrutni yana kim oladi?
VPN kirishi bir shaxsni tasdiqlaydi; u o'rnatadigan marshrut boshqa qamrov. Umumiy mashinada butun host, foydalanuvchi va ilova tunnellarini solishtiring.
Ish stansiyasini bo'lishish bitta foydalanuvchili noutbuk hech qachon javob bermaydigan savolni tug'diradi: bir kishi tunnellni tasdiqlagandan so'ng undan yana kim foydalana oladi? Kirish subyektni aniqlaydi, o'rnatiladigan marshrut esa qamrovni tavsiflaydi, va bu ikkisi bir obyekt emas. Ularning orasida operatsion tizim, mijoz konfiguratsiyasi va xususiy xizmat o'zi talab qiladigan narsalar bor. Amalga oshirish nuqtalarini solishtirish savolga taxmin qilmasdan javob berishning yagona yo'li.
Bitta kirish, bir nechta qamrov
Autentifikatsiya kim qabul qilinganini javob beradi. Marshrut qaysi paketlar tunneldan chiqa olishini javob beradi. Avtorizatsiya qaysi xizmat hosil bo'lgan ulanishni qabul qilishini javob beradi, va uchtadan hech biri keyingisini nazarda tutmaydi.
Butun host tunneli odatiy standart bo'lib, bo'shliqni yaqqol qiladi. Marshrut yadro jadvalida turadi, shuning uchun bu jadvaldan foydalanadigan har bir jarayon xususiy tarmoqqa yeta oladi, VPN oynasini hech qachon ko'rmagan foydalanuvchi ishga tushirgan jarayon ham. Bu tunnelning nuqsoni emas; tizim miqyosidagi marshrutning ma'nosi shu. Xususiy xizmat baribir ulanishni rad etishi mumkin, shuning uchun yetib borish va ruxsat alohida javoblarga muhtoj.
Sinovdan oldin to'rt savolni yozib qo'yish ko'rib chiqishning ulardan biriga qisqarishiga yo'l qo'ymaydi.
Chegara aslida qayerda
To'rt tartib mashinalarning ko'p qismini qamrab oladi: butun host tunneli, foydalanuvchi bo'yicha ulanish, ilova bo'yicha ruxsat ro'yxati va alohida tarmoq nom maydoni yoki virtual mashina.
Har biri amalga oshirish nuqtasini boshqa joyga qo'yadi, va farqlar yorliqlardan muhimroq. Foydalanuvchi bo'yicha ulanish profil ruxsatlari bilan amalga oshiriladi, ish stoli kirish ekrani bilan emas. Ilova bo'yicha ruxsat ro'yxati mijoz ichida amalga oshiriladi, u nima tashishini o'zi hal qiladi. Nom maydoni yoki VM interfeys chegarasida amalga oshiradi, shuning uchun ichkaridagi jarayon host marshrutini umuman ko'rmaydi. Mashinadagi kirish ekranlari soni ularning hech biri haqida hech narsa demaydi.
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
Jadvalni qator-qator o'qish haqiqiy savol izolyatsiya bormi degani emas, u qayerda amalga oshirilgani ekanini ko'rsatadi.
To'rt amalga oshirish nuqtasini solishtiring
Linuxda marshrutlar jadvali birinchi tekshiriladigan narsa, chunki butun host tunneli o'sha yerda ko'rinadi, nom maydoni ko'rinmaydi. Qidiruvni ikkinchi foydalanuvchi sifatida ishga tushirish odamlar o'tkazib yuboradigan qadam; javob ular o'zlari sifatida olganidan farq qiladi, va bu hisobotni tushuntiradi.
Keyingi ikki tekshiruv marshrutlashga emas, siyosatga qaraydi. UIDga mos keladigan xavfsizlik devori qoidasi mahalliy hosil qilingan trafikka taalluqli, shuning uchun ikkalasi ham marshrutni bo'lishsa ham bitta hostdagi ikki foydalanuvchini ajrata oladi. Aniq ruxsat ro'yxati bo'lgan ulanish profili faollashtirish paytida tarmoq menejeri tomonidan amalga oshiriladi. Hech bir tekshiruv tunnelni o'zgartirishni talab qilmaydi, shuning uchun har qanday qayta loyihalashdan oldin ularni bajarish arziydi.
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidAgar ikkinchi qidiruv tunnel marshrutini ko'rsatsa, chegara loyiha taxmin qilgan joyda emas.
Bir vaqtdagi sessiya qoidalari alohida nazorat
Darvoza ko'pincha bitta hisob qancha sessiya saqlashi mumkinligini cheklaydi, va bu chegara mahalliy foydalanuvchilarga aloqasi yo'q. U hisobni cheklaydi, shuning uchun o'sha ma'lumotlar bilan kiradigan ikkinchi shaxs birinchisining tunnelini to'xtatishi mumkin.
Mahalliy izolyatsiya muammosi deb o'ylashdan oldin nosozlikni o'qing. Sessiya chegarasi darvozada uzilish keltiradi, qamrov muammosi esa ishlaydigan, lekin boshqa foydalanuvchining trafigini tashimaydigan tunnel hosil qiladi. Bu ikki alomat butunlay boshqa tuzatishlarga olib boradi. Mijozning aniq xabarini saqlang, chunki u odatda qoidani nomlaydi. Chegarani chetlab o'tish o'rniga profil egasidan tasdiqlangan ish jarayonini so'rang.
Virtual mashina hech kimni bu qoidadan ozod qilmaydi va o'zining tarmoq hamda hisob ma'lumotlari dizaynini qo'shadi.
Siz uchun muhim kontekstni sinang
Mo'ljallangan foydalanuvchi va ilovani sinang, so'ng rad etilishi kerak bo'lgan kontekstni sinang. Faqat asl parol ishlashini isbotlaydigan ko'rib chiqish autentifikatsiyani sinadi, boshqa hech narsani emas.
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'Har bir natija yoniga amalga oshirish nuqtasini yozing: marshrutlar jadvali, UID qoidasi, profil ruxsati yoki darvozaning sessiya siyosati. Bu qayd keyingi o'zgarishni tekshiriladigan qiladi. Shuningdek, kimdir ikkinchi kirish ekranini payqagan har safar o'sha savolning qayta ochilishini oldini oladi. Yetib borish avtorizatsiya emas, va ikkalasi ham izolyatsiya emas.