Публікацыя хатняга VPN: што вы насамрэч адкрываеце

Вы перанакіроўваеце адзін порт для тунэлю і кажаце сабе, што змена абмежаваная. На практыцы порт толькі прапускае пакеты; тое, што стаіць за ім, і ёсць уздзеянне. Тры рэчы вызначаюць гэтае ўздзеянне: сокет, які слухае на публічным баку, ідэнтычнасць, якую прымае тунэль, і пункты прызначэння, да якіх гэтая ідэнтычнасць можа дабрацца. Кожная патрабуе свайго адказу, бо асцярожны выбар у адной не абмяжоўвае іншыя.

Перанакіраванне порта — не служба

Правіла маршрутызатара рухае пакеты да хоста; яно не называе працэс, які іх чытае. Старонка перанакіравання і слухаючы сокет жывуць у розных месцах, таму правіла можа паказваць на машыну, якая ўжо не запускае службу. Каб даведацца, што насамрэч адказвае, паглядзіце на хост: ss -lntup пералічвае кожны слухаючы сокет разам з працэсам, які ім валодае. Затым супастаўце гэты працэс з кампанентам, версіяй і ўладальнікам.

Выдаленне правіла, якое вы памятаеце, не зачыняе дзверы. Сувязь UPnP магла дадацца сама, адрас IPv6 можа заставацца даступным пасля знікнення запісу IPv4, а другі спосаб публікацыі можа існаваць на іншай машыне. Прачытайце спіс сувязяў UPnP маршрутызатара разам з яго статычнымі запісамі, затым праверце знешне з сеткі.

Уваход — не дазвол LAN

Тунэль вырашае, хто можа падключыцца; рэсурсы вырашаюць, што падключаны кліент можа адкрыць. Кіраўніцтва NIST па нулявым даверы робіць тое ж раздзяленне ў маштабе сеткі: адрас нічога не даказвае пра аўтарызацыю. Дайце аднаму зарэгістраванаму ноўтбуку адну задачу, напрыклад чытанне агульнага каталога на названым хосце, і запішыце гэтую пару. Адрас тунэлю не павінен атрымліваць у спадчыну правы адміністратара на астатні дом.

Таксама праверце шляхі, якія апускае зводка: трафік кліент-кліент, членства ў мосце, перанакіраванне ў інтэрнэт і пераўтварэнне крыніцы. Кожны можа злучыць дзве сістэмы, пра якія ваша запісаная задача не згадвае. Адключыце тыя, што задачы не патрэбны, затым пералічыце, да чаго кліент яшчэ можа дабрацца.

Чыстае сканаванне даказвае вельмі мала

Адкрыты порт — гэта факт пра адзін адрас і адзін пратакол; паспяховы ўваход — факт пра адзін уліковы доказ. Ніводзен не кажа, што будзе далей. Праверце меркаваную аперацыю на меркаваным хосце, затым паспрабуйце ідэнтычнасць, якая ніколі не рэгістравалася, службу, якую ніхто не ўхваліў, і інтэрфейс кіравання, які павінен заставацца прыватным. Апошні тэст звычайна і правальваецца.

Праверце абедзве сям'і адрасоў і кожны шлях, які вы публікуеце. Сканаванне адрасу IPv4 нічога не кажа пра службу IPv6, якая слухае, а ўнутраны тэст не ўбачыць праблему зваротнай пятлі NAT або фільтр вышэй па плыні. Запусціце хаця б адну праверку звонку, на злучэнні, якое не вяртаецца праз той жа маршрутызатар.

Запішыце ўздзеянне

Кароткая табліца ператварае агляд у тое, што наступны чалавек можа прааўдытаваць. Запаўняйце яе звонку ўнутр, адзін радок на кожную даступную службу, і трымайце разам з канфігурацыяй, а не ў чаце. Калі ў радка няма ўладальніка, гэта знаходка.

Радкі, якія кажуць толькі “VPN”, яшчэ не радкі. Радку патрэбны сокет, хост, ідэнтычнасць і прызначэнне, бо менавіта гэта праверыць аўдытар або зламыснік.

Сплануйце выхад на пенсію загадзя

Тунэль, які вы не можаце адклікаць, — гэта пастаянныя дзверы. Зараней вырашыце, як адклікаць уліковыя даныя прылады, скончыць жывую сесію і аднавіць доступ пасля таго, як абнаўленне зламае службу. Трымайце шлях аднаўлення, які не ідзе праз тунэль, бо тунэль — гэта тое, што вы будзеце рамантаваць. Захоўвайце яго там, дзе да яго можна дабрацца без гэтай машыны.

Агляд завершаны, калі патрэбны пункт прызначэння працуе, а непатрэбныя — не. Гэта не гарантыя, што ўразлівасцей няма, і зялёная пазнака сканера не замяняе ні таго, ні іншага. Перадайце табліцу і нататку пра аднаўленне таму, хто ўнаследуе наладку.