Ishonchsiz VPN bitta emas, uchta alohida chegara

«Men bu VPNga ishonmayman» odatda bitta gapga kiyintirilgan uchta bayonot. O‘sha tarmoqdagi uzoq hamkasblar xostingizdagi xizmatlarga yetib borishi mumkin, tunnelni boshqarayotgan operator undan o‘tayotgan trafikni kuzatishi mumkin, va siz o‘rnatgan mijoz dasturi mashinangizning tarmoq siyosatini o‘zgartirishi mumkin. Tuzatishga arziydigan ishonch — olov devori qoidasi, virtual mashina yoki operatsion tizimni sinchkovlik bilan tanlash uchalasiga ham javob beradi degan fikr. Har bir chora ulardan aynan bittasiga javob beradi.

Afsona: bitta nazorat butun xavfni qoplaydi

Odatiy taxmin — ishonchsiz tarmoqqa qo‘shilish bitta yumshatish bilan bitta qaror. Odamlar allaqachon ishonadigan nazoratni tanlaydi, uni qo‘llaydi va xavfni tugagan deb hisoblaydi: olov devori yoniq, ish maydoni bir martalik, mijoz obro‘li yetkazib beruvchidan kelgan.

Bu nazoratlar taxmin aytgandek bir-birini qoplamaydi. Xostdagi olov devori uzoq hamkasbning qayerga yetib borishini cheklaydi va TLS-ingizni tugatuvchi operatorga qarshi hech narsa qilmaydi. Virtual mashina ish maydonini xostingiz fayllaridan ajratadi va ikkalasining ostidagi tarmoq stekini qayta sozlashga ruxsat berilgan mijoz komponentiga qarshi hech narsa qilmaydi. Har bir nazorat haqiqatda yaratadigan chegarani nomlash — butun mashq shu.

Ularni ajratish qaysi xavfni qabul qilishni tanlaganingizni ham aytadi. Aksariyat haqiqiy qarorlar bir chegarani yumshatib, boshqasiga toqat qiladi, bu o‘zgarish yozuvi qaysi biri qaysi ekanini aytguncha to‘g‘ri.

Uzoq hamkasb haqiqatda qayerga yetib boradi

Tinglayotgan xizmatlardan boshlang. Paketlari shifrlangan holda kelgani uchun keng ishonchli deb qaraladigan tunnel interfeysi odatiy xato bo‘lib, u o‘sha tarmoqdagi har kim uchun har bir mahalliy tinglovchini mumkin bo‘lgan nishonga aylantiradi. Shifrlash ikki uch orasidagi simni himoya qiladi; u narigi uchdagi hamkasbning niyati haqida hech narsa demaydi.

ss -tulpn
sudo nft list ruleset
ip -br addr

Xizmatlarni har bir interfeysga emas, ularga kerakli manzilga bog‘lang va faqat tasdiqlangan vazifa talab qiladigan amallarga ruxsat bering. Yo‘naltirish, ko‘priklash va ilova proksisini ochiq tuting, chunki ikkita tarmoq ulanishi o‘z-o‘zidan tranzit yo‘l yaratmaydi, lekin proksi qoidasi albatta yaratishi mumkin.

Tasdiqlangan bir martalik ish maydoni uzoq tarmoq qayerga yetib borishini kamaytiradi, lekin uning almashish konfiguratsiyasi da'voga mos kelgandagina. Umumiy papkalar, almashish buferi integratsiyasi, hisob ma'lumotlari agentlari va boshqaruv kanallari — barchasi ish maydoni yaratishi kerak bo‘lgan chegaradan o‘tadi. Ish maydoni yorlig‘i ulardan qaysi biri ochiq ekanini hech narsa isbotlamaydi.

NIST ning nol ishonch arxitekturasi bularning barchasi ortidagi tamoyilni aytadi: faqat tarmoq joylashuvi o‘zi yashirin ishonch bermaydi. Tunnel qabul qilingandan keyin ham resurs autentifikatsiyasining ishi bor, va bu tarmoqni yana kim almashishi haqidagi savolning ham.

Yo‘ldagi operator nima ko‘ra oladi

VPN trafigingizni yo‘lning boshqa joyiga ko‘chiradi; u ilova shifrlashini qo‘shmaydi. Agar provayder TLS-ingizni tugatsa, brauzeringiz aks holda himoya qilgan narsani o‘qiy oladi, va hech qanday mahalliy olov devori qoidasi buni o‘zgartirmaydi.

Haqiqiy manzil uchun odatiy sertifikat tekshiruvini saqlang va hal qiluvchi hamda metama'lumotlar yo‘lini tushuning, chunki DNS so‘rovi o‘zidan oldin boradigan yukdan ko‘proq narsani ochib berishi mumkin. Faqat metama'lumotlar, ya'ni qaysi manzillar bilan qachon bog‘langaningiz, ko‘pincha mazmunni o‘qishga hech qanday ehtiyojsiz operatorning savoliga javob beradi. Shuning uchun «trafik shifrlangan» va «trafik maxfiy» — turli da'volar.

Agar bu ko‘rinuvchanlik vazifa uchun qabul qilib bo‘lmaydigan bo‘lsa, javob ko‘proq mahalliy filtrlash emas, balki boshqa tasdiqlangan arxitektura. Mahalliy filtrlash kuzatuvchini u hali o‘tirgan yo‘ldan olib tashlay olmaydi.

Mahalliy mijoz nimani o‘zgartira oladi

Bu odamlar o‘tkazib yuboradigan chegara va qolgan ikkitasini ma'nosiz qiladigan ham shu. Linuxda CAP_NET_ADMIN o‘zining tarmoq kontekstida interfeys konfiguratsiyasini, olov devori boshqaruvini va marshrut o‘zgarishlarini qamrab oladi. Shu qobiliyatga ega dastur siz hozir yozgan siyosatni qayta yozishi mumkin.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Tarmoq nomlar fazosi tarmoq holati uchun haqiqiy chegara va qolgan hamma narsa uchun yomon: u fayl tizimini yoki hisob ma'lumotlari omborini ajratmaydi. Uni butun masalaning idishi emas, bitta qatlam deb biling.

Mijoz va uning konfiguratsiyasini qo‘llab-quvvatlanadigan manbadan oling, u so‘rayotgan vakolatni ko‘rib chiqing va imtiyozli komponentlarni administrator nazoratida saqlang. Virtual mashina qimmatli hisob ma'lumotlari yonida tushuntirilmagan o‘rnatuvchini ishga tushirish ruxsatiga aylanmasdan malakali baholash chegarasining qismi bo‘lishi mumkin. O‘rnatuvchi siz bergan qanday vakolat bilan bo‘lsa ham ishlaydi, va o‘sha vakolat chegaradir.

Qaysi chegarani qabul qilganingizni yozing

To‘rtta narsani nomlaydigan gap bilan yakunlang: ishonchli mahalliy kod, ruxsat berilgan uzoqdan kirish, himoyalangan ilova ma'lumotlari va qoladigan operator munosabati. Bu gap VM, operatsion tizim yoki antivirus mahsuloti dushman tarmoqni xavfsiz qildi degan umumiy da'vodan qimmatroq.

Keyin tor amal ishlashini va talab qilingan rad etish hali ham saqlanishini tasdiqlang, tunnel yiqilgandan keyin ham. Faqat tunnel ko‘tarilgan paytda mavjud bo‘lgan chegara siz hujjatlashtirgan chegara emas.

Hech bir sinov har bir zaiflik yo‘qligini isbotlamaydi, va buning aksini da'vo qiladigan ko‘rib chiqish oshirib yuboradi. Halol natija qolgan xavfni va uni qabul qilgan odamni nomlaydi.