Хатні VPN для сяброў: дзяліцеся выхадам, а не LAN

Сказаць, што сябар можа глядзець праз ваша хатняе злучэнне, не тое ж самае, што сказаць, што ён можа карыстацца вашай хатняй сеткай, і прамежак паміж гэтымі двума сказамі ўключае NAS, прынтары, адміністрацыйную старонку роўтара і ўсе іншыя прылады ў LAN. Кожная дамоўленасць патрабуе ўласных правілаў перасылкі. Большасць інцыдэнтаў са сумесным VPN, пра якія я чую, — не экзатычныя атакі; гэта госць, які дабраўся да нечага, таму што ніхто не запісаў, якую мяжу набываюць. Вырашыце, якую дамову вы прапануеце, а затым выразіце яе ў палітыцы перасылкі і доступу, а не ў паведамленні.

Дзве дамовы, якія гучаць аднолькава

Толькі інтэрнэт азначае, што трафік запрошанага кліента выходзіць праз ваша злучэнне і нікуды далей. Поўны доступ азначае, што той жа кліент таксама далучаецца да вашай лакальнай сеткі, і гэтая другая дамова маўкліва ўключае першую, менавіта так людзі і трапляюць у яе. Розніца зводзіцца да жменькі правілаў перасылкі, і гэта таксама розніца паміж сумесным каналам і сумесным домам. Запішыце дамову, перш чым кранаць файрвол, бо правіла, дададзенае потым, лягчэй апраўдаць, чым выдаліць.

Выбірайце дамову толькі інтэрнэту, калі камусьці сапраўды не патрэбна паслуга ў LAN, бо правіла, якое вы ніколі не пісалі, — гэта дазвол, якога вы ніколі не давалі. Затым праверце, якую дамову рэалізуе кліенцкае праграмнае забеспячэнне, бо стандарт поўнага тунэлю можа ціха прапанаваць шырэйшую.

Мяжа першая: хатняя сетка

Гасцявому трафіку зусім няма чаго рабіць у хатніх сетках. Асобная падсетка VPN або выдзелены сегмент хостынгу робіць гэтую палітыку прасцейшай для выражэння, але іншая назва сама па сабе нічога не забяспечвае. Назвіце прыладу, якая фактычна рухае пакеты, і трымайце правілы перасячэння там, бо правіла на машыне, якая не перасылае, — гэта упрыгожанне. Калі VPN працуе на роўтары, гэтым пунктам прымянення з'яўляецца ўласны ланцуг перасылкі роўтара.

Гасцявая сетка з ізаляцыяй кліентаў — разумная альтэрнатыва, пры ўмове, што кліенты VPN сапраўды на яе трапляюць. Абодва дызайны патрабуюць аднолькавага тэсту з кліента, а не з кансолі.

Мяжа другая: хост і іншыя госці

Кліентам патрэбна служба VPN і нічога іншага на машыне, якая яе запускае, таму доступ да кіравання застаецца асобным дазволам. Менавіта яго часцей за ўсё даюць выпадкова, бо слухач тунэлю і інтэрфейс адміністравання знаходзяцца на адной скрынцы. Калі VPN завяршаецца на роўтары, порт тунэлю і вэб- або SSH-інтэрфейс — розныя суб'екты і заслугоўваюць розных правілаў. Правіла, якое абараняе старонку ўваходу, ніколі не павінна чытацца як забарона на перасылку.

Доступ да інтэрнэту таксама не патрабуе, каб адзін запрошаны кліент дасягаў іншага. Пулы выдаленага доступу часта паводзяць сябе як агульны сегмент, калі вы не скажаце інакш, таму зрабіце рашэнне яўным у канфігурацыі пула. Для жменькі сяброў ізаляцыя — гэта тыповы выбар, які варта зрабіць.

Складзіце карту шляхоў перад напісаннем правілаў

Аўтаномная прылада мае два асобныя наборы пакетаў для кантролю: тыя, што завяршаюцца на ёй, і тыя, што яна перасылае ад імя кліента. Сеткавыя рэкамендацыі CISA разглядаюць уваходныя, выходныя і міжсеткавыя шляхі як доступ, які патрабуе абгрунтавання, і гэта правільная рамка тут. Пералічыце хатнія прэфіксы такімі, якія яны ёсць, IPv4 і IPv6 абедзве, бо блакаванне толькі IPv4 пакідае дом, які таксама маршрутызуе IPv6, цалкам адкрытым на той жа мяжы. Затым вырашыце, як кліенты атрымліваюць DNS і ці любое выключэнне рэзалвера адкрывае толькі прызначаную паслугу.

Гэта патрабаванні, а не ўніверсальны рэцэпт, бо правілы залежаць ад таго, дзе завяршаецца VPN і дзе адбываецца трансляцыя. Пазбягайце дадання шырокага дазволу толькі дзеля таго, каб першы запыт браўзера прайшоў.

Што вы бярэце на сябе і як гэта праверыць

Сумеснае выкарыстанне выхаду стварае аперацыйную ролю. Запрашайце людзей праз мадэль ідэнтычнасці сэрвісу, зрабіце выдаленне практычным, падтрымлівайце хост і роўтар у належным стане і вырашыце, колькі вашай хуткасці аддачы сэрвіс можа выкарыстоўваць. Запыты выходзяць з вашага адрасу, таму скаргі і праблемы з рэпутацыяй прыходзяць да вас, нават калі ні адна прыватная прылада не была закранута. Тэхнічны дызайн ізаляцыі нічога не кажа пра прававое становішча, і абмежаванне трафіку звычайнымі вэб-партамі не робіць кожную дазволеную дзейнасць бясшкоднай.

Затым праверце адмовы з дазволенага кліента, а не з кансолі роўтара. Кожнае з наступнага павінна выконвацца:

• Доступ да інтэрнэту працуе з гасцявога тунэлю.
• NAS і прынтары адмаўляюцца па адрасе і па імені.
• Адміністраванне роўтара адмаўляецца з адрасу тунэлю.
• Другі запрошаны кліент недасягальны.
• Выдаленне аўтарызацыі кліента сапраўды спыняе доступ.

Калі ўладальнік не можа падтрымліваць гэтыя межы і аперацыйныя абавязкі, перадача файла канфігурацыі прымяншае тое, што дамоўленасць ад яго патрабуе. Гэта сумленнае апісанне паслугі, і яно належыць паведамленню, якое суправаджае канфігурацыю.