Nega umumiy TAP VPN hali ham portalda HTTPS talab qiladi
TAP VPN hamrohni autentifikatsiya qiladi, uning orqasidagi xizmatni emas. Portalda xost nomini tekshirishni saqlang va ishonmaydigan qo'shnilarni ajratib qo'ying.
Ikki qurilma haqiqiy VPN hisob ma'lumotlariga ega va bitta ko'prikli Ethernet segmentini baham ko'radi. Ulardan faqat bittasi ofis portali uchun javob berishi kerak, ikkinchisi esa hali ham o'sha segmentda portal manzilini talab qilishi mumkin. Tunnel o'z ishini bajardi: u ikkala hamrohni autentifikatsiya qildi va servergacha har bir yo'lni shifrladi. U qilmagan narsa ulardan qaysi biri xizmat nomiga ega ekanini tasdiqlash edi va portalning hali ham haqiqiy sertifikatga muhtojligining sababi aynan shu bo'shliqdir.
VPN aslida nimani autentifikatsiya qiladi
VPN qo'l berib ko'rishishi bitta savolga javob beradi: qaysi hamroh bu tunnelni qanday kalit materiali bilan tugatdi. Bu javob har bir hamroh va har bir ulanish uchun, va u hamroh keyinchalik taqdim etadigan xizmatlar haqida hech narsa demaydi. TAP segmentida hamroh hatto bitta manzil ham emas, chunki ko'prik o'rganishga tayyor bo'lgan har qanday MAC va har qanday IPni taqdim etishi mumkin. Autentifikatsiya tunnel oxirida to'xtaydi, ilovada emas.
Uchta savolni bittaga qo'shish o'rniga ajrating. Har birining o'z mexanizmi va o'z muvaffaqiyatsizlik usuli bor.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Joylashtirishda mukammal autentifikatsiya qilingan tunnel va uning orqasida mutlaqo autentifikatsiya qilinmagan xizmat bo'lishi mumkin. Shuningdek, ikkinchi qatlam manzilini boshqa hamroh talab qilayotgan xostda tekshirilgan sertifikat ham bo'lishi mumkin, shuning uchun dizaynda biri ikkinchisining o'rnini bosmasdan ikkala nazorat ham bo'lishi kerak. Jadval uch satrda butun dalildir.
Umumiy segmentda ARP katalog emas
ARP mahalliy havolada IPv4 manzilini MAC bilan bog'laydi va o'sha havoladagi har kimdan javob qabul qiladi. Ruxsat beruvchi ko'prikli segmentda hamroh boshqa qurilmaga tegishli manzilni talab qilishi mumkin, ko'prik esa kadrlarni oxirgi javob bergan tomonga uzatadi. Har bir mijoz yo'lini servergacha shifrlash buni o'zgartirmaydi, chunki kadrlar ko'prikka yetib borishidan oldin shifrdan chiqariladi. ARPning ishonch chegarasi tunnel emas, segmentdir.
Xost aslida nima o'rganganini ko'ring: ip neigh show joriy xaritalashlar va ularning holatini sanab o'tadi, normal ish paytida ikkita MAC manzil o'rtasida almashinadigan yozuv esa e'tiborsiz qoldirish emas, tekshirishga arziydigan belgidir. Sog'lom kichik segmentda bunday yozuvlar uzoq vaqt barqaror qoladi.
Hamrohlarni ajratish va ko'prik siyosati aynan shu holat uchun mavjud. Xizmat faqat IP bo'lsa va qurilmalarning bir-birining kadrlarini ko'rishga hech qanday sababi bo'lmasa, marshrutlangan dizayn odatda yaxshiroq javobdir.
Sertifikat tekshiruvini xizmat joylashgan joyda saqlang
Ilovaning TLSi tunnel bera olmaydigan savolga javob beradi: bu men yetib bormoqchi bo'lgan xizmatmi. Brauzer xost nomini sertifikat bilan tekshiradi va bu tekshiruv zanjirning hamrohni emas, portalni nomlaydigan yagona qismidir.
Ogohlantirish faqat tashqi ko'rinish deb qaror qilishdan oldin server nima taqdim etishini tekshiring. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal zanjir va sub'ektning muqobil nomlarini chop etadi. Kiritgan nomingiz o'sha ro'yxatda bo'lmasa, ogohlantirish to'g'ri va tuzatilishi kerak bo'lgan narsa sertifikatdir. Foydalanuvchilarga undan o'tishni o'rgatish ishlaydigan nazoratni bezakka aylantiradi.
OpenVPN ko'priklash qo'llanmasi Ethernet modeli va uning atrofidagi siyosat variantlarini tavsiflaydi va segment nimaga ruxsat berishi kerakligi uchun to'g'ri manbadir. Ko'prik qoidasini yumshatishdan oldin uni o'qing, chunki u tavsiflagan model yuqoridagi har bir tekshiruvning taxminidir.
O'sha hamrohlar segmentni baham ko'rishlari kerakmi yoki yo'qmi, qaror qiling
Eng arzon yechim odatda talab faqat IP yetib borish bo'lganda ikkinchi qatlamni baham ko'rishni to'xtatishdir. Marshrutlangan VPN har bir mijozga o'z manzilini beradi, umumiy eshittirish domenini olib tashlaydi va hamrohlar orasidagi trafikni standart o'rniga siyosat qaroriga aylantiradi. Shunda portalning himoya qiladigan bitta manzili bo'ladi va uni talab qila oladigan qo'shnisi qolmaydi.
Agar segment qolishi kerak bo'lsa, mijozlarning bir-biriga yetib borishiga imkon beruvchi server tomonidagi sozlamani tekshiring: grep -n client-to-client /etc/openvpn/server.conf. U o'chirilganda mijoz trafigi server orqali o'tadi va u yerda filtrlanishi mumkin. U yoqilganda hamrohlar kadrlarni to'g'ridan-to'g'ri ko'prik orqali almashadilar va sizning filtrlash nuqtalaringiz ko'prik va xostning xavfsizlik devoridir.
Har bir xost aslida qanday himoyalarga tayanadi, yozib qo'ying: tunnel autentifikatsiyasi, segment izolyatsiyasi yoki ilova TLSi. Uchtasiga ham tayanadigan xost yaxshi. Faqat birinchisiga tayanib, qolgan ikkitasi u bilan birga kelgan deb hisoblaydigan xost esa oxir-oqibat noto'g'ri tarkibni taqdim etadigan xostdir.