Publikasie van 'n tuis-VPN: wat jy werklik blootstel

Jy stuur een poort vir die tonnel deur en sê vir jouself die verandering is beperk. In die praktyk laat die poort net pakkette deur; wat daaragter sit, is die blootstelling. Drie dinge bepaal dié blootstelling: die sok wat aan die openbare kant luister, die identiteit wat die tonnel aanvaar, en die bestemmings wat daardie identiteit dan kan bereik. Elkeen het sy eie antwoord nodig, want 'n versigtige keuse by een beperk nie die ander nie.

Om 'n poort deur te stuur is nie 'n diens nie

’n Router-reël skuif pakkette na 'n gasheer; dit noem nie die proses wat hulle lees nie. Die deurverwysingsblad en die luisterende sok leef op verskillende plekke, daarom kan 'n reël na 'n masjien wys wat nie meer die diens het nie. Om uit te vind wat werklik antwoord, kyk op die gasheer: ss -lntup lys elke luisterende sok met die proses wat dit besit. Pas dan daardie proses by 'n komponent, 'n weergawe en 'n eienaar.

Die reël wat jy onthou jy geskep het, te verwyder maak nie die deur toe nie. 'n UPnP-kaart kan homself bygevoeg het, 'n IPv6-adres kan bereikbaar bly nadat die IPv4-inskrywing weg is, en 'n tweede publikasiemetode kan op 'n ander masjien bestaan. Lees die router se UPnP-kaartlys sowel as sy statiese inskrywings en toets dan van buite die netwerk.

’n Aanmelding is nie 'n LAN-toestemming nie

Die tonnel besluit wie mag koppel; die hulpbronne besluit wat 'n gekoppelde kliënt kan oopmaak. NIST se zero-trust-riglyn maak dieselfde skeiding op netwerkskaal: 'n adres bewys niks oor magtiging nie. Gee een ingeskryfde skootrekenaar een taak, soos om 'n lêerdeling op 'n genoemde gasheer te lees, en skryf daardie paar neer. 'n Tonneladres moet nie administrateurtoegang tot die res van die huis erf nie.

Ondersoek ook die paaie wat 'n opsomming weglaat: kliënt-tot-kliënt-verkeer, brondelidmaatskap, internet-deurverwysing en brontranslasie. Elkeen kan twee stelsels verbind wat jou geskrewe taak nooit noem nie. Skakel die een af wat die taak nie nodig het nie en lys dan wat die kliënt nog kan bereik.

’n Skoon skandering bewys baie min

'n Oop poort is 'n feit oor een adres en een protokol; 'n suksesvolle aanmelding is 'n feit oor een geloofsbrief. Nie een sê wat volgende gebeur nie. Toets die beoogde bewerking op die beoogde gasheer, probeer dan 'n identiteit wat nooit ingeskryf is nie, 'n diens wat niemand goedgekeur het nie, en die bestuurskoppelvlak wat privaat moet bly. Die laaste toets is gewoonlik die een wat misluk.

Toets beide adresfamilies en elke pad wat jy publiseer. 'n Skandering van die IPv4-adres sê niks oor 'n luisterende IPv6-diens nie, en 'n interne toets kan nie 'n NAT-teruglusprobleem of 'n opstroomfilter sien nie. Hardloop ten minste een kontrole van buite, op 'n verbinding wat nie deur dieselfde router terugkom nie.

Skryf die blootstelling neer

'n Kort tabel maak die hersiening iets wat die volgende persoon kan ouditeer. Vul dit van buite na binne in, een ry per bereikbare diens, en hou dit by die konfigurasie, nie in 'n kletsdraad nie. As 'n ry geen eienaar het nie, is dit 'n bevinding.

Rye wat net “die VPN” sê, is nog nie rye nie. 'n Ry het die sok, die gasheer, die identiteit en die bestemming nodig, want dit is wat 'n ouditeur of 'n aanvaller sou toets.

Beplan die aftrede voordat jy dit nodig het

'n Tonnel wat jy nie kan herroep nie, is 'n permanente deur. Besluit vooraf hoe om 'n toestelgeloofsbrief te retireer, 'n lewende sessie te beëindig en toegang te herstel nadat 'n opgradering die diens breek. Hou 'n herstelroete wat nie deur die tonnel loop nie, want die tonnel is die ding wat jy gaan herstel. Stoor dit waar jy dit sonder daardie masjien kan bereik.

Die hersiening is klaar wanneer die beoogde bestemming werk en die ongewenste s'n nie. Dit is nie 'n waarborg dat geen kwesbaarheid bestaan nie, en 'n skandeerder se groen etiket vervang nie een van die twee nie. Gee die tabel en die herstelnota aan wie ook al die opstelling erf.