Wi-Fi công cộng và VPN: những gì đường hầm không che

Huy hiệu xanh, cổng thông tin hài lòng, trình duyệt hoạt động: đó là toàn bộ câu chuyện hữu hình. Điều huy hiệu bỏ qua là kết nối được mã hóa lại được chuyên chở chính bởi liên kết không dây mà nó phải bảo vệ bạn khỏi. Liên kết đó vẫn giao từng gói tin, vẫn thấy địa chỉ đích và vẫn quyết định liệu có gì đến hay không. Xem xét phía máy tính xách tay của một kết nối khách sạn cho thấy đường hầm che những phần nào và để lại cho bạn những phần nào.

Liên kết truy cập chuyên chở mọi thứ

Đường hầm IPsec ESP bọc một gói tin bên trong được bảo vệ vào một tiêu đề bên ngoài mà mạng có thể định tuyến, và RFC 4303 mục 3.1.2 giải thích sự tách biệt đó. Gói tin bên trong là thứ đường hầm bảo vệ. Tiêu đề bên ngoài là thứ điểm truy cập đọc để chuyển tiếp nó. Các thiết kế khác đóng gói khác đi, nhưng câu hỏi quy hoạch vẫn vậy: lối truy cập nào chuyên chở kết nối này?

Sự cố cổng hoặc một liên kết làm rơi gói tin sẽ dừng việc giao nhận mà không tiết lộ nội dung. Chuyển sang mật mã mạnh hơn không giúp gì cho điều đó, vì phần thiếu là vận chuyển chứ không phải mã hóa. Giao nhận thành công cũng chứng minh ít như vậy ở chiều ngược lại, vì một con đường hoạt động không nói gì về trạng thái của cả hai máy.

Máy tính xách tay của bạn vẫn có những cánh cửa riêng

Tham gia một phân đoạn không đáng tin sẽ thay đổi ai có thể chạm tới các cổng mà máy bạn lắng nghe. Một dịch vụ chia sẻ tệp, một tác nhân quản trị từ xa hay một máy chủ phát triển gắn với mọi giao diện đều có thể bị bất kỳ ai trong phân đoạn đó chạm tới, trừ khi có gì đó ngăn nó. Lưu lượng không bao giờ vào đường hầm thì không được nó bảo vệ. Một trình lắng nghe trả lời trước khi đường hầm dựng lên sẽ bị phơi ra đúng trong cửa sổ đó.

Yêu cầu hẹp và đáng được phát biểu chính xác: máy tính xách tay phải chạm tới điểm cuối VPN, và các thiết bị không liên quan trên điểm truy cập không được chạm tới dịch vụ cục bộ. Các quy tắc tường lửa của máy chủ thể hiện ranh giới đó, và chính các thiết lập chia sẻ của nền tảng cũng thể hiện một phần của nó. Máy in hay một bước cổng thông tin là ngoại lệ có phạm vi mà bạn cố ý thêm vào, không phải bằng chứng rằng toàn bộ điểm truy cập đáng được tin cậy như LAN văn phòng.

Một số tổ chức cũng hạn chế truy cập cục bộ khi kết nối công việc đang hoạt động, đó là chính sách chứ không phải kỹ thuật. Hãy đọc chính sách đó trước khi tắt tường lửa để một thiết bị ngoại vi hoạt động.

Kiểm tra xem thực sự cái gì đang lắng nghe

Hãy xem các ổ cắm chứ không phải trang cài đặt, vì trang mô tả ý định còn bảng ổ cắm mô tả cỗ máy. Hai danh sách dưới đây tách mọi ổ cắm đang lắng nghe khỏi những ổ cắm mà một người hàng xóm có thể chạm tới. Chạy chúng trên phân đoạn không đáng tin trước khi kết nối đường hầm.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Lệnh đầu tiên hiển thị mọi ổ cắm, lệnh thứ hai lọc những ổ cắm gắn ra ngoài loopback. Dịch vụ trên 0.0.0.0 hoặc :: có sẵn trên mọi giao diện, kể cả giao diện không dây, trong khi cùng dịch vụ đó trên 127.0.0.1 hoàn toàn không chạm tới được từ phân đoạn. Truy vấn của trình phân giải xác nhận tên đi theo con đường nào trước khi đường hầm tồn tại, và đó là nơi các cổng thông tin bị giữ can thiệp. Lặp lại danh sách sau khi kết nối, vì một số ứng dụng khách nâng các giao diện làm thay đổi câu trả lời.

Một cổng chỉ xuất hiện khi đường hầm dựng lên thì ít bị phơi hơn, dù vẫn đáng để biết. Ghi lại sự khác biệt chứ không phải danh sách tuyệt đối, vì delta mới là thứ đường hầm thêm vào.

Đừng chấp nhận danh tính mới giữa phiên

Thay đổi tuyến bất ngờ, kết nối lại hay chuyển hướng cổng thông tin không phải là cho phép chấp nhận một danh tính máy chủ khác. Nếu ứng dụng khách báo sai lệch chứng chỉ hoặc khóa, hãy coi đó là phát hiện về danh tính chứ không phải kết nối cần né tránh. Cài một chứng chỉ gốc không giải thích để cổng thông tin hoạt động sẽ biến vấn đề giao nhận thành vấn đề tin cậy. Và vấn đề tin cậy sau đó sống lâu hơn chuyến đi đã tạo ra nó.

Dùng luồng trình duyệt riêng của cổng thông tin, sau đó kết nối lại đường hầm và đọc nhật ký ứng dụng khách để biết nó đã xác minh danh tính nào. Lỗi danh tính nghĩa là bên kia không phải người bạn mong đợi, còn lỗi giao nhận nghĩa là bên kia chưa từng trả lời. Điều đầu là lý do dừng lại, điều sau là lý do thử một con đường khác.

Hãy quyết định hành vi khi mất kết nối trước

Ở đây hai tính năng khác nhau bị lẫn lộn. Kết nối lại cố gắng khôi phục dịch vụ, còn chính sách chặn kiểm soát lưu lượng nào được phép khi đường hầm đang xuống. Không cái nào cung cấp một liên kết không dây hoạt động, và không cái nào chứng minh điểm cuối sạch. Chọn rõ ràng: thất bại đóng cho các ứng dụng không bao giờ được dùng đường cục bộ, và cho phép duyệt thông thường bên ngoài đường hầm nếu điều đó chấp nhận được.

Ghi lại lựa chọn, vì mặc định ở hầu hết ứng dụng khách không phải cái nào trong hai, và nó thay đổi theo phiên bản. Sau đó chuẩn bị một lối truy cập thay thế nếu tính sẵn sàng quan trọng, chẳng hạn điểm phát sóng điện thoại có gói dữ liệu riêng. Một bài kiểm tra chấp nhận đạt yêu cầu có ba kết quả riêng biệt: lưu lượng dự định dùng đường hầm đã xác minh, các trình lắng nghe cục bộ không liên quan không chạm tới được, và sự cố tạo ra hành vi bạn đã chọn.