Tài khoản VPN dùng chung: giới hạn thiết bị không phải cách ly máy khách

Tám kết nối đồng thời là một con số trên trang giấy phép, và nó không nói gì về việc tám thiết bị đó có thể làm gì với nhau. Một lần đăng nhập dùng chung có thể tồn tại cùng các khóa riêng cho từng phiên, và cũng có thể tồn tại cùng một cổng kết nối sẵn lòng chuyển lưu lượng của máy khách này sang máy khách khác. Sai lầm là coi tài khoản như một ranh giới bảo mật. Thay vào đó hãy hỏi bốn câu riêng biệt: đã mua gì, cái gì bảo vệ đường hầm, cái gì có thể đi qua giữa các peer, và cái gì có thể làm đổ đoạn liên kết nội bộ.

Một hạn mức kết nối thực sự hứa điều gì

Giới hạn thiết bị đếm xem nhà cung cấp sẽ chấp nhận bao nhiêu phiên cho một gói đăng ký. Đó là kiểm soát thương mại và vận hành, không phải tuyên bố về danh tính hay cách ly. Một số nhà cung cấp phát một chứng chỉ riêng cho từng thiết bị dưới một tài khoản; những nơi khác dùng lại một thông tin xác thực cho mọi kết nối. Sự khác biệt lộ ra khi thu hồi, vì thông tin xác thực riêng cho phép cắt một thiết bị, còn thông tin dùng chung không để lại lựa chọn đó.

Hãy đọc cách nhà cung cấp phát thông tin xác thực trước khi giả định bất cứ điều gì về việc tách khóa. Bản thân tên tài khoản không tiết lộ gì về điều đó.

Kiểm tra xem cổng có chuyển tiếp giữa các máy khách không

Khả năng tiếp cận giữa các peer là quyết định ở phía máy chủ. Trên OpenVPN công tắc liên quan không có trừ khi nó xuất hiện trong cấu hình, nhưng việc giảm tải mặt phẳng dữ liệu hiện đại thay đổi nơi quy tắc được áp dụng.

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

Một cấu hình không có chỉ thị đó để lưu lượng giữa các peer cho tường lửa của máy chủ, mà nó vẫn có thể cho phép. Khi giảm tải đang hoạt động, nhân hệ điều hành xử lý giao diện đường hầm thay vì tiến trình không gian người dùng, nên hãy kiểm tra bộ đếm quy tắc thay vì tin vào tệp. Chặn lưu lượng được chuyển tiếp giữa các địa chỉ đường hầm cách ly các máy khách mà không đụng đến quyền truy cập cổng của chúng. Xác nhận bằng một phép thử từ máy khách này tới dịch vụ trên máy khách khác, cả trước và sau quy tắc.

Bảo vệ phiên trước các peer

Bảo vệ đường hầm và quyền truy cập giữa các peer là hai thuộc tính khác nhau, và mã hóa mạnh không có nghĩa là cách ly. Ở chế độ TLS, mỗi máy khách tự tạo khóa phiên của mình, nên một máy khách không thể đọc lưu lượng của máy khác ngay cả khi cổng chuyển tiếp nó. Cách bố trí khóa tĩnh cũ chia sẻ một khóa duy nhất cho mọi người, vì thế việc dùng lại đăng nhập ở đó có hậu quả nặng nề hơn nhiều. Hãy xem chế độ đã cấu hình thay vì trang tiếp thị, rồi đánh giá xem việc chia sẻ tài khoản có phù hợp với dữ liệu liên quan không.

Xác thực dịch vụ trên mỗi máy chủ vẫn quan trọng, vì đường hầm chỉ chứng minh rằng một máy khách đã tới được mạng, chứ không phải rằng nó phải tới được một daemon cụ thể.

Sự cố Wi-Fi nội bộ không phải là xâm phạm VPN

Một kết nối bị rớt chứng minh rằng đoạn liên kết nội bộ đã hỏng, không phải ai đó đã phá đường hầm. Nhiễu, mất thuê DHCP và chuyển giao khi chuyển vùng đều kết thúc một phiên mà không đụng đến thông tin xác thực hay bản mã. Hãy coi việc ngắt kết nối là một phát hiện về tính sẵn sàng và giữ nó tách khỏi các phát hiện về bí mật và quyền truy cập giữa các peer. Ở nơi mạng nội bộ không đáng tin, hãy bảo vệ lưu lượng từ đầu đến cuối thay vì chỉ dựa vào đường hầm.

Hãy ghi lại bốn câu trả lời: hạn mức, mô hình khóa, chính sách peer và sự phụ thuộc vào liên kết nội bộ. Bản ghi đó biến nỗi lo mơ hồ về một tài khoản dùng chung thành những kiểm soát cụ thể.