شبكة VPN منزلية للأصدقاء: شارك المنفذ، لا الشبكة المحلية

القول بأن صديقًا قد يتصفح عبر اتصالك المنزلي ليس كالقول بأنه قد يستخدم شبكتك المنزلية، والفجوة بين الجملتين تضم وحدة التخزين NAS والطابعات وصفحة إدارة الموجّه وكل جهاز آخر على الشبكة المحلية. كل ترتيب يحتاج قواعد إعادة توجيه خاصة به. معظم حوادث VPN المشتركة التي أسمع عنها ليست هجمات غريبة؛ بل ضيف وصل إلى شيء لأن أحدًا لم يكتب أي حد يتم شراؤه. قرّر أي عقد تقدّمه، ثم عبّر عنه في سياسة إعادة التوجيه والوصول لا في رسالة.

عقدان يبدوان متشابهين

الإنترنت فقط يعني أن حركة العميل المدعو تخرج عبر اتصالك ولا شيء أبعد من ذلك. الوصول الكامل يعني أن العميل نفسه ينضم أيضًا إلى شبكتك المحلية، وهذا العقد الثاني يتضمن الأول بصمت، وهكذا ينجرف الناس إليه. الفرق يتلخص في حفنة من قواعد إعادة التوجيه، وهو أيضًا الفرق بين مشاركة النطاق الترددي ومشاركة منزل. اكتب العقد قبل أن تلمس الجدار الناري، لأن القاعدة التي تضيفها لاحقًا يسهل تبريرها أكثر من إزالتها.

اختر عقد الإنترنت فقط ما لم يكن أحد يحتاج فعلاً إلى خدمة على الشبكة المحلية، لأن قاعدة لم تكتبها أبدًا هي إذن لم تمنحه أبدًا. ثم تحقّق من أي عقد ينفّذه برنامج العميل، لأن الوضع الافتراضي للنفق الكامل قد يمنح العقد الأوسع بهدوء.

الحد الأول: شبكة المنزل

حركة الضيوف ليس لها أي عمل على شبكات المنزل على الإطلاق. شبكة فرعية منفصلة للـVPN أو قطاع استضافة مخصص يجعل تلك السياسة أسهل في التعبير، لكن الاسم المختلف لا يفرض شيئًا بحد ذاته. سمِّ الجهاز الذي ينقل الحزم فعليًا واحتفظ بقواعد العبور هناك، لأن قاعدة مكتوبة على جهاز لا يعيد التوجيه هي زينة. عندما يعمل الـVPN على الموجّه، تكون نقطة الإنفاذ تلك هي سلسلة إعادة التوجيه الخاصة بالموجّه.

شبكة ضيوف معزولة العملاء بديل معقول، بشرط أن يهبط عملاء VPN عليها فعلاً. كل تصميم يحتاج الاختبار نفسه من عميل لا من الطرفية.

الحد الثاني: المضيف والضيوف الآخرون

يحتاج العملاء إلى خدمة VPN ولا شيء غيرها على الجهاز الذي يشغّلها، لذا يبقى وصول الإدارة إذنًا منفصلاً. وهو الإذن الذي يُمنح غالبًا بالخطأ، لأن مستمع النفق وواجهة الإدارة على الجهاز نفسه. إذا انتهى النفق على الموجّه، فإن منفذ النفق وواجهة الويب أو SSH موضوعان مختلفان ويستحقان قواعد مختلفة. القاعدة التي تحمي صفحة تسجيل الدخول لا ينبغي أبدًا قراءتها كحظر على إعادة التوجيه.

الوصول إلى الإنترنت أيضًا لا يتطلب السماح لعميل مدعو بالوصول إلى آخر. غالبًا ما تتصرف مجموعات الوصول عن بُعد كقطاع مشترك ما لم تقل غير ذلك، فاجعل القرار صريحًا في إعداد المجموعة. لحفنة من الأصدقاء، العزل هو الافتراضي الجدير بالاختيار.

ارسم المسارات قبل كتابة القواعد

لدى جهاز مستقل مجموعتان منفصلتان من الحزم يجب ضبطها: تلك التي تنتهي عليه وتلك التي يمررها نيابة عن عميل. إرشادات CISA الشبكية تعتبر المسارات الداخلة والخارجة وبين الشبكات وصولاً يحتاج إلى تبرير، وهذا هو التأطير الصحيح هنا. اسرد بادئات المنزل كما هي فعلاً، IPv4 وIPv6 معًا، لأن حجب IPv4 فقط يترك منزلًا يوجّه IPv6 أيضًا مفتوحًا على مصراعيه عند الحد نفسه. ثم قرّر كيف يحصل العملاء على DNS وما إذا كان أي استثناء للمحلّل يكشف الخدمة المقصودة فقط.

هذه متطلبات وليست وصفة عالمية، لأن القواعد تعتمد على مكان انتهاء VPN ومكان حدوث الترجمة. تجنّب إضافة تصريح واسع فقط لنجاح أول طلب من المتصفح.

ما تتحمّله، وكيف تختبره

مشاركة منفذ تنشئ دورًا تشغيليًا. ادعُ الناس عبر نموذج الهوية في الخدمة، واجعل الإزالة عملية، وحافظ على صيانة المضيف والموجّه، وقرّر مقدار ما يصرفه رفعك للخدمة. الطلبات تغادر من عنوانك، لذا تصل الشكاوى ومشكلات السمعة إلى بابك حتى لو لم يُمسّ أي جهاز خاص. تصميم العزل التقني لا يقول شيئًا عن الوضع القانوني، وحصر الحركة في منافذ الويب الشائعة لا يجعل كل نشاط مسموح غير ضار.

ثم اختبر حالات الرفض بعميل مُصرّح به لا من طرفية الموجّه. يجب أن يصحّ كل مما يلي:

• الوصول إلى الإنترنت يعمل من نفق الضيف.
• يُرفض NAS والطابعات بالعنوان وبالاسم.
• يُرفض وصول الإدارة إلى الموجّه من عنوان النفق.
• العميل المدعو الثاني غير قابل للوصول.
• إزالة تصريح العميل تنهي الوصول فعلاً.

إذا لم يستطع المالك صيانة تلك الحدود والمهام التشغيلية، فإن تسليم ملف إعداد يقلّل من تقدير ما يتطلبه الترتيب منه. هذا هو الوصف الصادق للخدمة، وهو ينتمي إلى الرسالة التي ترافق الإعداد.