Dostlar üçün ev VPN-i: çıxışı paylaş, LAN-ı yox

Dostunuzun ev bağlantınız vasitəsilə gəzməsinə icazə vermək, onun ev şəbəkənizdən istifadə etməsinə icazə verməklə eyni deyil və bu iki cümlə arasındakı fərq NAS-ı, printerləri, router-in idarə səhifəsini və LAN-dakı bütün digər cihazları əhatə edir. Hər razılaşmanın öz yönləndirmə qaydaları lazımdır. Eşitdiyim paylaşılan VPN hadisələrinin çoxu ekzotik hücumlar deyil; qonağın hansı sərhədin alındığını heç kim yazmadığı üçün nəyəsə çatmasıdır. Hansı müqaviləni təklif etdiyinizə qərar verin, sonra bunu mesajda deyil, yönləndirmə və giriş siyasətində ifadə edin.

Eyni səslənən iki müqavilə

Yalnız internet o deməkdir ki, dəvət olunmuş müştərinin trafiki sizin bağlantınızdan çıxır və daha uzağa getmir. Tam giriş o deməkdir ki, həmin müştəri də yerli şəbəkənizə qoşulur və bu ikinci müqavilə birincini səssizcə əhatə edir, insanlar da buna beləcə sürüklənir. Fərq bir neçə yönləndirmə qaydasına qədər azalır və bu həm də genişliyi paylaşmaqla evi paylaşmaq arasındakı fərqdir. Firewall-a toxunmazdan əvvəl müqaviləni yazın, çünki sonradan əlavə etdiyiniz qaydanı əsaslandırmaq onu silməkdən asandır.

Yalnız internet müqaviləsini seçin, əgər kimsə həqiqətən LAN xidmətinə ehtiyac duymursa, çünki heç vaxt yazmadığınız qayda heç vaxt vermədiyiniz icazədir. Sonra müştəri proqramının hansı müqaviləni tətbiq etdiyini yoxlayın, çünki tam tunel standartı daha geniş olanı səssizcə verə bilər.

Sərhəd bir: ev şəbəkəsi

Qonaq trafikinin ev şəbəkələrində heç bir işi yoxdur. Ayrı VPN alt şəbəkəsi və ya xüsusi hostinq seqmenti bu siyasəti ifadə etməyi asanlaşdırır, lakin fərqli ad özlüyündə heç nə tətbiq etmir. Paketləri həqiqətən hərəkət etdirən cihazı adlandırın və keçid qaydalarını orada saxlayın, çünki yönləndirmə etməyən maşında yazılmış qayda bəzəkdir. VPN router-də işləyəndə həmin icra nöqtəsi router-in öz yönləndirmə zənciridir.

Müştəri izolyasiyası olan qonaq şəbəkəsi ağlabatan alternativdir, bir şərtlə ki, VPN müştəriləri həqiqətən ora düşsün. Hər iki dizayn konsoldan deyil, müştəridən eyni testi tələb edir.

Sərhəd iki: host və digər qonaqlar

Müştərilərə VPN xidməti lazımdır və onu işlədən maşında başqa heç nə, ona görə idarəetmə girişi ayrı icazə olaraq qalır. Ən çox təsadüfən verilən icazə budur, çünki tunel dinləyicisi ilə idarəetmə interfeysi eyni qutudadır. VPN router-də bitirsə, tunel portu ilə veb və ya SSH interfeysi fərqli subyektlərdir və fərqli qaydalara layiqdir. Giriş səhifəsini qoruyan qayda heç vaxt yönləndirməyə qadağa kimi oxunmamalıdır.

İnternetə giriş həm də bir dəvət olunmuş müştərinin digərinə çatmasına icazə verməyi tələb etmir. Uzaqdan giriş hovuzları çox vaxt ortaq seqment kimi davranır, əgər başqa cür deməsəniz, ona görə qərarı hovuz konfiqurasiyasında açıq şəkildə verin. Bir neçə dost üçün izolyasiya seçməyə dəyər standartdır.

Qaydaları yazmazdan əvvəl yolları xəritələyin

Müstəqil cihazın nəzarət etməli olduğu iki ayrı paket dəsti var: onun üzərində bitənlər və müştəri adından ötürdüyü paketlər. CISA-nın şəbəkə təlimatları daxil olan, çıxan və şəbəkələrarası yolları əsaslandırma tələb edən giriş kimi qəbul edir və burada düzgün çərçivə budur. Ev prefikslərini olduğu kimi sadalayın, həm IPv4, həm IPv6, çünki yalnız IPv4-ü bloklayan qayda IPv6-nı da yönləndirən evi eyni sərhəddə tam açıq qoyur. Sonra müştərilərin DNS-i necə aldığını və hər hansı resolver istisnasının yalnız nəzərdə tutulan xidməti açıb-açmadığını qərar verin.

Bunlar universal resept deyil, tələblərdir, çünki qaydalar VPN-in harada bitdiyindən və tərcümənin harada baş verdiyindən asılıdır. Yalnız ilk brauzer sorğusunun keçməsi üçün geniş icazə əlavə etməkdən çəkinin.

Nə öhdəsinə götürürsünüz və bunu necə yoxlamalı

Çıxışı paylaşmaq əməliyyat rolu yaradır. İnsanları xidmətin kimlik modeli ilə dəvət edin, çıxarılmanı praktik edin, hostu və router-i saxlayın və xidmətin yükləmə kanalınızın nə qədərini istifadə edə biləcəyinə qərar verin. Sorğular sizin ünvanınızdan çıxır, ona görə şikayətlər və reputasiya problemləri heç bir şəxsi cihaza toxunulmasa da qapınıza gəlir. Texniki izolyasiya dizaynı hüquqi mövqe barədə heç nə demir və trafiki adi veb portları ilə məhdudlaşdırmaq hər icazəli fəaliyyəti zərərsiz etmir.

Sonra rədd hallarını router konsolundan deyil, səlahiyyətli müştəridən yoxlayın. Bunların hər biri doğru olmalıdır:

• İnternetə giriş qonaq tunelindən işləyir.
• NAS və printerlər ünvana və ada görə rədd edilir.
• Router idarəetməsi tunel ünvanından rədd edilir.
• İkinci dəvət olunmuş müştəri əlçatmazdır.
• Müştərinin icazəsini silmək girişi həqiqətən bitirir.

Əgər sahib bu sərhədləri və əməliyyat vəzifələrini saxlaya bilmirsə, konfiqurasiya faylını təhvil vermək razılaşmanın ondan tələb etdiyini kiçildir. Bu, xidmətin dürüst təsviridir və konfiqurasiya ilə birlikdə gedən mesaja aiddir.