Ommaviy Wi-Fi va VPN: tunnel nimalarni qoplamaydi

Yashil nishon, mamnun portal, ishlayotgan brauzer: bu butun ko'rinadigan hikoya. Nishon tushirib qoldiradigan narsa shundaki, shifrlangan aloqani sizni undan himoya qilishi kerak bo'lgan o'sha simsiz havola olib yuradi. Bu havola hanuz har bir paketni yetkazadi, hanuz manzilni ko'radi va hanuz biror narsa yetib borishini hal qiladi. Mehmonxona aloqasining noutbuk tomonini ko'rib chiqish tunnel qaysi qismlarni qoplashini va qaysilarini sizga qoldirishini ko'rsatadi.

Kirish havolasi hamma narsani olib yuradi

IPsec ESP tunneli himoyalangan ichki paketni tarmoq marshrutlay oladigan tashqi sarlavha ichiga o'raydi, va RFC 4303 3.1.2 bo'lim bu bo'linishni tushuntiradi. Ichki paket tunnel himoya qiladigan narsa. Tashqi sarlavhani hotspot uni uzatish uchun o'qiydi. Boshqa dizaynlar boshqacha kapsulalaydi, lekin rejalashtirish savoli bir xil: bu aloqani qaysi kirish yo'li olib yuradi?

Shlyuz nosozligi yoki paketlarni tashlab yuboradigan havola mazmunni ochmay yetkazishni to'xtatadi. Kuchliroq shifrga o'tish bunga hech narsa qilmaydi, chunki yetishmayotgan qism kriptografiya emas, transport. Muvaffaqiyatli yetkazish qarama-qarshi yo'nalishda ham shunchalik kam isbotlaydi, chunki ishlaydigan yo'l ikkala mashinaning hech birining holati haqida hech narsa demaydi.

Noutbukingiz hali ham o'z eshiklariga ega

Ishonchsiz segmentga qo'shilish mashinangiz tinglaydigan portlarga kim yeta olishini o'zgartiradi. Fayl almashish xizmati, masofaviy boshqaruv agenti yoki barcha interfeyslarga bog'langan ishlab chiqish serveri o'sha segmentdagi har kim uchun ochiq, agar biror narsa uni to'xtatmasa. Tunnelga hech qachon kirmaydigan trafik u bilan himoyalanmaydi. Tunnel ko'tarilishidan oldin javob beradigan tinglovchi aynan o'sha oyna uchun ochiq.

Talab tor va aniq ifodalashga arziydi: noutbuk VPN oxirgi nuqtasiga yetishi kerak, hotspotdagi aloqasiz qurilmalar esa mahalliy xizmatlarga yetmasligi kerak. Xostning xavfsizlik devori qoidalari shu chegarani ifodalaydi, platformaning o'z almashish sozlamalari ham uning bir qismini ifodalaydi. Printer yoki portal qadami siz ataylab qo'shadigan cheklangan istisno, butun hotspot ofis LAN ishonchiga loyiq degan dalil emas.

Ba'zi tashkilotlar ish aloqasi faol bo'lganda mahalliy kirishni ham cheklaydi, bu muhandislik emas, siyosat. Periferiya qurilmasi ishlashi uchun xavfsizlik devorini o'chirishdan oldin shu siyosatni o'qing.

Aslida nima tinglayotganini tekshiring

Sozlamalar sahifasini emas, soketlarni ko'ring, chunki sahifa niyatni ta'riflaydi, soket jadvali esa mashinani. Quyidagi ikki ro'yxat har bir tinglayotgan soketni qo'shni yeta oladigan soketlardan ajratadi. Tunnelni ulashdan oldin ularni ishonchsiz segmentda ishga tushiring.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Birinchi buyruq har bir soketni ko'rsatadi, ikkinchisi loopbackdan tashqarida bog'langanlarga filtrlaydi. 0.0.0.0 yoki :: dagi xizmat simsizni qo'shgan holda har bir interfeysda mavjud, 127.0.0.1 dagi o'sha xizmat esa segmentdan umuman yetib bo'lmaydi. Resolver so'rovi tunnel paydo bo'lishidan oldin nom qaysi yo'lni olishini tasdiqlaydi, va aynan u yerda tutib olingan portallar aralashadi. Ulangandan keyin ro'yxatni takrorlang, chunki ba'zi mijozlar javobni o'zgartiradigan interfeyslarni ko'taradi.

Faqat tunnel ko'tarilgan paytda ko'rinadigan port kamroq ochiq, ammo u haqida bilish hali ham arziydi. Mutlaq ro'yxatni emas, farqni yozib oling, chunki tunnel qo'shgan narsa delta.

Sessiya o'rtasida yangi shaxsni qabul qilmang

Kutilmagan marshrut o'zgarishi, qayta ulanish yoki portal yo'naltirilishi boshqa server shaxsini qabul qilishga ruxsat emas. Agar mijoz sertifikat yoki kalit mos kelmasligini xabar qilsa, buni chetlab o'tiladigan ulanish emas, shaxs topilmasi deb qabul qiling. Portal ishlashi uchun tushuntirilmagan ildiz sertifikatini o'rnatish yetkazib berish muammosini ishonch muammosiga aylantiradi. So'ngra ishonch muammosi uni yaratgan safariqdan uzoqroq yashaydi.

Portalning o'z brauzer oqimidan foydalaning, so'ngra tunnelni qayta ulang va mijoz jurnalida u tasdiqlagan shaxsni o'qing. Shaxs nosozligi qarshi tomon siz kutgan kishi emasligini bildiradi, yetkazish nosozligi esa qarshi tomon hech qachon javob bermaganini bildiradi. Birinchisi to'xtash uchun sabab, ikkinchisi boshqa yo'lni sinash uchun sabab.

Avval uzilish paytidagi xatti-harakatni hal qiling

Bu yerda ikki xil funksiya aralashtiriladi. Qayta ulanish xizmatni tiklashga urinadi, bloklash siyosati esa tunnel ishlamayotganda qaysi trafikga ruxsat berilishini boshqaradi. Ikkisi ham ishlaydigan simsiz havola bermaydi va ikkisi ham oxirgi nuqta toza ekanini isbotlamaydi. Aniq tanlang: mahalliy yo'lni hech qachon ishlatmasligi kerak bo'lgan ilovalar uchun yopiq nosozlik, va maqbul bo'lsa tunnel tashqarisida oddiy ko'rishga ruxsat.

Tanlovni yozib qo'ying, chunki ko'pchilik mijozlarda standart ikkisidan biri emas va versiyaga qarab farq qiladi. So'ngra mavjudlik muhim bo'lsa, o'z ma'lumot rejasiga ega telefon hotspoti kabi muqobil kirish yo'lini tayyorlang. Maqbul qabul sinovi uchta alohida natijaga ega: mo'ljallangan trafik tasdiqlangan tunneldan foydalanadi, aloqasiz mahalliy tinglovchilarga yetib bo'lmaydi, va uzilish siz tanlagan xatti-harakatni yaratadi.