Kí ni ìdí tí TAP VPN tí a pín yóò fi nílò HTTPS lórí ẹnubodè
TAP VPN ń dájú ẹlẹgbẹ́, kì í ṣe iṣẹ́ tó wà lẹ́yìn rẹ̀. Pa ìjẹ́rìí orúkọ agbàlejò mọ́ lórí ẹnubodè kí o sì ya àwọn aládùúgbò tí o kò gbẹ́kẹ̀lé sọ́tọ̀.
Ẹ̀rọ méjì ní àwọn ẹ̀rí VPN tí ó wúlò, wọ́n sì ń pín ẹ̀ka Ethernet kan tí a ti ṣe afárá. Ọ̀kan nínú wọn ṣoṣo ló yẹ kí ó dáhùn fún ẹnubodè ọ́fíìsì, ẹ̀wọ̀n yìí sì ṣì lè gbà àdírẹ́sì ẹnubodè lórí ẹ̀ka yẹn. Ọ̀nà abẹ́lẹ̀ ṣe iṣẹ́ rẹ̀: ó dájú ẹlẹgbẹ́ méjèèjì, ó sì pa gbogbo ọ̀nà mọ́ sí ẹ̀rọ ìsìn. Ohun tí kò ṣe ni dájú ẹni tí ó ni orúkọ iṣẹ́, ààlà yẹn sì ni ìdí tí ẹnubodè fi ṣì nílò ìwé-ẹ̀rí tí ó wúlò.
Ohun tí VPN ń dájú ní tòótọ́
Ìfọwọ́kàn VPN dáhùn ìbéèrè kan: ẹlẹgbẹ́ wo ni ó parí ọ̀nà abẹ́lẹ̀ yìí, àti pẹ̀lú ohun èlò kọ́kọ́rọ́ wo. Ìdáhùn yẹn jẹ́ ti ẹlẹgbẹ́ kọ̀ọ̀kan àti ìsopọ̀ kọ̀ọ̀kan, kò sì sọ ohunkóhun nípa àwọn iṣẹ́ tí ẹlẹgbẹ́ yẹn ń fi hàn lẹ́yìn náà. Nínú ẹ̀ka TAP, ẹlẹgbẹ́ kì í ṣe àdírẹ́sì kan pàápàá, nítorí ó lè fi MAC yóò sì IP yóò hàn tí afárá bá ṣetán láti kọ́. Ìjẹ́rìí dúró ní ìparí ọ̀nà abẹ́lẹ̀, kì í ṣe ní ohun èlò.
Ya àwọn ìbéèrè mẹ́ta sọ́tọ̀ dípò kí o dà wọ́n pọ̀ sí ọ̀kan. Ọ̀kọ̀ọ̀kan ní ọ̀nà rẹ̀ àti ọ̀nà ìkùnà rẹ̀.
| Question | Answered by |
|---|---|
| Which peer sent this packet? | VPN transport authentication |
| Which device owns this IPv4 address? | ARP, trusted only as far as the segment |
| Which service am I talking to? | Application TLS and hostname validation |
Ìgbékalẹ̀ kan lè ní ọ̀nà abẹ́lẹ̀ tí a dájú pátápátá àti iṣẹ́ tí a kò dájú rárá lẹ́yìn rẹ̀. Ó tún lè ní ìwé-ẹ̀rí tí a fọwọ́ sí lórí agbàlejò tí ẹlẹgbẹ́ mìíràn ń gbà àdírẹ́sì ìpele kejì rẹ̀, ìdí nìyẹn tí àwọn ìṣàkóso méjèèjì fi yẹ kí ó wà nínú àpẹrẹ, kì í ṣe ọ̀kan dípò ìkejì. Tábìlì ni gbogbo àríyànjiyàn nínú ìlà mẹ́ta.
ARP lórí ẹ̀ka tí a pín kì í ṣe ìwé àkọsílẹ̀
ARP ń so àdírẹ́sì IPv4 pọ̀ mọ́ MAC lórí ìsopọ̀ àdúgbò, ó sì ń gba ìdáhùn lọ́wọ́ ẹnikẹ́ni lórí ìsopọ̀ yẹn. Lórí ẹ̀ka afárá tí ó ṣí sílẹ̀, ẹlẹgbẹ́ lè gbà àdírẹ́sì tí ó jẹ́ ti ẹ̀rọ mìíràn, afárá sì ń fi àwọn férémù ránṣẹ́ sí ẹni tí ó kẹ́yìn dáhùn. Pípa ọ̀nà kọ̀ọ̀kan mọ́ sí ẹ̀rọ ìsìn kò yí ìyẹn padà, nítorí a máa ń tú férémù kí wọ́n tó dé afárá. Ààlà ìgbẹ́kẹ̀lé ARP ni ẹ̀ka, kì í ṣe ọ̀nà abẹ́lẹ̀.
Wo ohun tí agbàlejò kọ́ ní tòótọ́: ip neigh show ń ṣe àkọsílẹ̀ àwọn ìsopọ̀ àti ipò wọn, àti àkọsílẹ̀ tí ó ń yí padà láàrin àdírẹ́sì MAC méjì nígbà iṣẹ́ déédéé jẹ́ àmì tí ó yẹ kí a ṣèwádìí dípò kí a fojú kéré. Nínú ẹ̀ka kékeré tí ó ní ìlera, irú àwọn àkọsílẹ̀ yẹn máa ń dúró ṣinṣin fún ìgbà pípẹ́.
Ìyàsọ́tọ̀ ẹlẹgbẹ́ àti ìlànà afárá wà fún irú ipò yìí gan-an. Àpẹrẹ tí a fi ọ̀nà ṣe máa ń jẹ́ ìdáhùn tí ó dára jù nígbà tí iṣẹ́ jẹ́ IP nìkan tí àwọn ẹ̀rọ kò sì ní ìdí láti rí férémù ara wọn.
Pa ìjẹ́rìí ìwé-ẹ̀rí mọ́ ní ibi tí iṣẹ́ wà
TLS ohun èlò dáhùn ìbéèrè tí ọ̀nà abẹ́lẹ̀ kò lè dáhùn: ṣé èyí ni iṣẹ́ tí mo fẹ́ dé. Aṣàwákiri ń yẹ orúkọ agbàlejò wò pẹ̀lú ìwé-ẹ̀rí, àti ìyẹn nìkan ni apá inú ẹ̀wọ̀n tí ó ń pe ẹnubodè dípò ẹlẹgbẹ́.
Ṣàyẹ̀wò ohun tí ẹ̀rọ ìsìn ń fi hàn kí o tó pinnu pé ìkìlọ̀ náà jẹ́ ojú lásán. openssl s_client -connect portal.example.internal:443 -servername portal.example.internal ń tẹ ẹ̀wọ̀n àti àwọn orúkọ àfidípò ti kókó-ọ̀rọ̀ jáde. Bí orúkọ tí o tẹ kò bá sí nínú àkọsílẹ̀ yẹn, ìkìlọ̀ náà tọ́, ìwé-ẹ̀rí sì ni ohun tí ó yẹ kí a túnṣe. Kíkọ́ àwọn olùṣàmúlò láti fojú fo ìyẹn yóò sọ ìṣàkóso tí ń ṣiṣẹ́ di ohun ọ̀ṣọ́.
Ìtọ́sọ́nà afárá OpenVPN ṣàlàyé àpẹrẹ Ethernet àti àwọn àṣàyàn ìlànà tí ó yí i ká, ìyẹn sì ni ìtọ́kasí tí ó tọ́ fún ohun tí ẹ̀ka yẹ kí ó gbà. Kà á kí o tó tú ìlànà afárá, nítorí àpẹrẹ tí ó ṣàlàyé ni ohun tí gbogbo àyẹ̀wò lókè ń rò.
Pinnu bóyá àwọn ẹlẹgbẹ́ yẹn yẹ kí wọ́n pín ẹ̀ka rárá
Àtúnṣe tí ó din owó jùlọ máa ń jẹ́ dídá pínpín ìpele kejì dúró nígbà tí ohun tí a nílò bá jẹ́ àǹfààní IP nìkan. VPN tí a fi ọ̀nà ṣe ń fún olùgbàlémọ́ kọ̀ọ̀kan ní àdírẹ́sì tirẹ̀, ó ń yọ àgbègbè ìgbóhùnsáfẹ́fẹ́ tí a pín kúrò, ó sì ń sọ ìrìnàjò láàrin àwọn ẹlẹgbẹ́ di ìpinnu ìlànà dípò àkọ́kọ́. Nígbà náà ẹnubodè ní àdírẹ́sì kan láti dáàbò bò, kò sì ní aládùúgbò tí ó lè gbà á.
Bí ẹ̀ka bá gbọ́dọ̀ wà, ṣàyẹ̀wò ètò ẹ̀gbẹ́ ẹ̀rọ ìsìn tí ó ń jẹ́ kí àwọn olùgbàlémọ́ dé ọ̀dọ̀ ara wọn: grep -n client-to-client /etc/openvpn/server.conf. Nígbà tí a pa á, ìrìnàjò olùgbàlémọ́ ń gba ẹ̀rọ ìsìn, a sì lè ṣàtúnṣe níbẹ̀. Nígbà tí a tan án, àwọn ẹlẹgbẹ́ ń pààrọ̀ férémù tààrà nípasẹ̀ afárá, àwọn ibi ìṣàtúnṣe rẹ sì ni afárá àti ògiri iná agbàlejò.
Kọ ọ sílẹ̀ pé irú ààbò wo ni agbàlejò kọ̀ọ̀kan ń gbẹ́kẹ̀lé ní tòótọ́: ìjẹ́rìí ọ̀nà abẹ́lẹ̀, ìyàsọ́tọ̀ ẹ̀ka tàbí TLS ohun èlò. Agbàlejò tí ó gbẹ́kẹ̀lé gbogbo mẹ́ta dára. Agbàlejò tí ó gbẹ́kẹ̀lé èkínní tí ó sì rò pé àwọn méjì yòókù wá pẹ̀lú rẹ̀ ni ẹni tí yóò kẹ́yìn pèsè àkóónú tí kò tọ́.