Huis-VPN vir vriende: deel die uitgang, nie die LAN nie

Om te sê dat 'n vriend deur jou huisverbinding mag blaai is nie dieselfde as om te sê dat hy jou huisnetwerk mag gebruik nie, en die gaping tussen daardie twee sinne bevat die NAS, die drukkers, die router se adminbladsy en elke ander toestel op die LAN. Elke reëling het sy eie deurverwysingsreëls nodig. Die meeste voorvalle van gedeelde VPN's waarvan ek hoor, is nie eksotiese aanvalle nie; dit is 'n gas wat iets bereik het omdat niemand neergeskryf het watter grens gekoop word nie. Besluit watter kontrak jy aanbied en druk dit dan uit in deurverwysings- en toegangsbeleid eerder as in 'n boodskap.

Twee kontrakte wat dieselfde klink

Net-internet beteken die genooide kliënt se verkeer verlaat deur jou verbinding en niks verder nie. Volle toegang beteken dieselfde kliënt sluit ook by jou plaaslike netwerk aan, en daardie tweede kontrak sluit stilweg die eerste in, wat is hoe mense daarin verval. Die verskil kom neer op 'n handvol deurverwysingsreëls, en dit is ook die verskil tussen bandwydte deel en 'n huis deel. Skryf die kontrak neer voordat jy die firewall aanraak, want 'n reël wat jy later byvoeg is makliker om te regverdig as om te verwyder.

Kies die net-internet-kontrak tensy iemand werklik 'n LAN-diens nodig het, want 'n reël wat jy nooit geskryf het nie is 'n toestemming wat jy nooit gegee het nie. Kyk dan watter kontrak die kliëntsagteware implementeer, want 'n volledige tonnel-verstek kan die wyer een stilweg lewer.

Grens een: die huishoudelike netwerk

Gasteverkeer het glad geen plek op die huishoudelike netwerke nie. 'n Aparte VPN-subnet of 'n toegewyde gasteerderingssegment maak daardie beleid makliker om uit te druk, maar die ander naam dwing op sigself niks af nie. Noem die toestel wat werklik die pakkette beweeg en hou die kruisingsreëls daar, want 'n reël op 'n masjien wat nie deurverwys nie is versiering. Wanneer die VPN op die router loop, is daardie handhawingspunt die router se eie deurverwysingsketting.

'n Gastenetwerk met kliënt-isolasie is 'n redelike alternatief, mits die VPN-kliënte werklik daarop beland. Elke ontwerp het dieselfde toets van 'n kliënt nodig eerder as van die konsole.

Grens twee: die gasheer en die ander gaste

Kliënte het die VPN-diens nodig en niks anders op die masjien wat dit bedryf nie, so bestuurstoegang bly 'n aparte toestemming. Dit is die een wat die meeste per ongeluk gegun word, want die tonnel-luisteraar en die administrasiekonkoppel staan op dieselfde boks. As die VPN op die router termineer, is die tonnelpoort en die web- of SSH-koppel verskillende onderwerpe en verdien verskillende reëls. 'n Reël wat 'n aanmeldbladsy beskerm, moet nooit as 'n verbod op deurverwysing gelees word nie.

Internet toegang vereis ook nie dat 'n genooide kliënt 'n ander een bereik nie. Afstandtoegang-poole gedra hulle dikwels soos 'n gedeelde segment tensy jy anders sê, so maak die besluit eksplisiet in die poelkonfigurasie. Vir 'n handjievol vriende is isolasie die verstek wat werd is om te kies.

Karteer die paaie voordat jy reëls skryf

'n Selfstandige toestel het twee afsonderlike stelle pakkette om te polisieer: die wat op hom termineer en die wat hy namens 'n kliënt deurstuur. CISA se netwerkriglyne beskou inkomende, uitgaande en internetwerk-paaie as toegang wat regverdiging nodig het, wat die regte raamwerk hier is. Lys die huishoudelike voorvoegsels soos hulle werklik is, beide IPv4 en IPv6, want 'n blok wat net IPv4 dek laat 'n huishouding wat ook IPv6 routeer wyd oop by dieselfde grens. Besluit dan hoe kliënte DNS kry en of enige oplosser-uitsondering net die bedoelde diens blootstel.

Dit is vereistes eerder as 'n universele resep, want die reëls hang daarvan af waar die VPN termineer en waar vertaling plaasvind. Vermy om 'n breë permit by te voeg net om die eerste blaaier-versoek te laat slaag.

Wat jy op jou neem, en hoe om dit te toets

Om 'n uitgang te deel skep 'n bedryfsrol. Nooi mense deur die diens se identiteitsmodel, maak verwydering prakties, hou die gasheer en router onderhou, en besluit hoeveel van jou oplaai die diens mag gebruik. Versoeke vertrek vanaf jou adres, so klagtes en reputasieprobleme beland by jou, selfs wanneer geen privaat toestel geraak is nie. 'n Tegniese isolasie-ontwerp sê niks oor die regsposisie nie, en om verkeer tot algemene webpoorte te beperk maak nie elke toegelate aktiwiteit onskadelik nie.

Toets dan die weierings met 'n gemagtigde kliënt eerder as vanaf die router-konsole. Elkeen van hierdie moet hou:

• Internet toegang werk vanaf die gas-tonnel.
• NAS en drukkers word per adres en per naam geweier.
• Router-administrasie word vanaf die tonneladres geweier.
• 'n Tweede genooide kliënt is onbereikbaar.
• Om die kliënt se magtiging te verwyder beëindig werklik toegang.

As die eienaar daardie grense en die bedryfspligte nie kan onderhou nie, onderskat die oorhandiging van 'n konfigurasielêer wat die reëling van hulle vra. Dit is die eerlike beskrywing van die diens, en dit hoort in die boodskap wat saam met die konfigurasie reis.