Umumiy VPN hisobi: qurilma chegarasi mijozlarni izolyatsiya qilish emas

Sakkizta bir vaqtli ulanish litsenziya sahifasidagi raqam bo'lib, bu sakkizta qurilma bir-biriga nima qila olishi haqida hech narsa demaydi. Umumiy kirish sessiya bo'yicha kalitlar bilan birga mavjud bo'lishi mumkin, shuningdek bir mijozning trafigini ikkinchisiga mamnuniyat bilan uzatadigan darvoza bilan ham birga bo'lishi mumkin. Xato — hisobni xavfsizlik chegarasi deb hisoblash. Buning o'rniga to'rtta alohida savol bering: nima sotib olindi, tunnelni nima himoya qiladi, tengdoshlar orasida nima o'tishi mumkin va mahalliy bo'g'inni nima yiqitishi mumkin.

Ulanish ruxsati aslida nima va'da qiladi

Qurilma chegarasi provayderning bitta obuna uchun nechta sessiya qabul qilishini sanaydi. Bu tijoriy va operatsion nazorat, shaxs yoki izolyatsiya haqidagi bayonot emas. Ba'zi provayderlar bitta hisob ostida har bir qurilma uchun alohida sertifikat beradi; boshqalari har bir ulanishda bitta guvohnomani qayta ishlatadi. Farq bekor qilish paytida ko'rinadi, chunki alohida guvohnomalar bitta qurilmani uzib qo'yishga imkon beradi, umumiy esa bunday tanlovni qoldirmaydi.

Kalitlarni ajratish haqida biror narsa taxmin qilishdan oldin provayder guvohnomalarni qanday berishini o'qing. Hisob nomining o'zi bundan hech narsani oshkor qilmaydi.

Darvoza mijozlar orasida uzatadimi-yo'qmi tekshiring

Tengdoshlar orasidagi yetib borish server tomonidagi qaror. OpenVPN ichida tegishli kalit konfiguratsiyada ko'rinmasa mavjud emas, ammo zamonaviy ma'lumotlar tekisligini yukdan bo'shatish qoida qayerda qo'llanishini o'zgartiradi.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Bu ko'rsatmasiz konfiguratsiya tengdoshlar orasidagi trafikni xost himoya devoriga qoldiradi, u hali ham ruxsat berishi mumkin. Yukdan bo'shatish faol bo'lganda tunnel interfeysini foydalanuvchi maydoni jarayoni emas, yadro boshqaradi, shuning uchun faylga ishonish o'rniga qoida hisoblagichlarini tekshiring. Tunnel manzillari orasida uzatiladigan trafikni bloklash mijozlarni darvozaga kirishlariga tegmasdan izolyatsiya qiladi. Buni bir mijozdan ikkinchisidagi xizmatga sinov orqali tasdiqlang, qoidadan oldin ham, keyin ham.

Sessiyani tengdoshlardan oldin himoya qiling

Tunnel himoyasi va tengdoshlarga kirish turli xossalar, kuchli shifr izolyatsiyani anglatmaydi. TLS rejimida har bir mijoz o'z sessiya kalitlarini chiqaradi, shuning uchun darvoza uzatsa ham bir mijoz ikkinchisining trafigini o'qiy olmaydi. Eski statik kalit tartibi bitta kalitni hammaning o'rtasida bo'lishadi, shuning uchun u yerda kirishni qayta ishlatish ancha og'ir oqibatlarga olib keladi. Marketing sahifasini emas, sozlangan rejimni ko'rib chiqing, so'ngra hisobni bo'lishish tegishli ma'lumotlarga mos keladimi-yo'qmi baholang.

Har bir xostda xizmat autentifikatsiyasi hali ham muhim, chunki tunnel faqat mijozning tarmoqqa yetib kelganini isbotlaydi, ma'lum bir demoniyga yetishi kerakligini emas.

Mahalliy Wi-Fi nosozliklari VPN buzilishi emas

Uzilgan ulanish mahalliy bo'g'in ishlamay qolganini isbotlaydi, kimdir tunnelni buzganini emas. Shovqin, yo'qolgan DHCP ijara va roumingdagi o'tish — barchasi guvohnomalar yoki shifrmatnga tegmasdan sessiyani tugatadi. Ulanish uzilishini mavjudlik topilmasi deb qarang va uni maxfiylik hamda tengdoshlarga kirish topilmalaridan alohida tuting. Mahalliy tarmoq ishonchsiz bo'lgan joyda trafikni faqat tunnelga suyanish o'rniga uchidan uchigacha himoya qiling.

To'rtta javobni yozib qo'ying: ruxsat, kalit modeli, tengdoshlar siyosati va mahalliy bo'g'inga bog'liqlik. Bu yozuv umumiy hisob haqidagi noaniq xavotirni aniq nazoratga aylantiradi.