Домашен VPN за приятели: споделете изхода, не LAN

Да кажеш, че приятел може да разглежда през домашната ти връзка, не е същото като да кажеш, че може да използва домашната ти мрежа, а разликата между тези две изречения включва NAS, принтерите, администраторската страница на рутера и всяко друго устройство в LAN. Всяка уредба се нуждае от собствени правила за препращане. Повечето инциденти със споделен VPN, за които чувам, не са екзотични атаки; това е гост, който е достигнал нещо, защото никой не е записал коя граница се купува. Решете какъв договор предлагате, после го изразете в политика за препращане и достъп, а не в съобщение.

Два договора, които звучат еднакво

Само интернет означава, че трафикът на поканения клиент излиза през вашата връзка и нищо повече. Пълен достъп означава, че същият клиент се присъединява и към вашата локална мрежа, а този втори договор тихо включва първия и така хората се плъзгат в него. Разликата се свежда до шепа правила за препращане и е също разликата между споделяне на честотна лента и споделяне на дом. Запишете договора, преди да пипате защитната стена, защото правило, добавено по-късно, е по-лесно да се оправдае, отколкото да се премахне.

Изберете договора само за интернет, освен ако някой наистина не се нуждае от услуга в LAN, защото правило, което никога не сте написали, е разрешение, което никога не сте дали. После проверете кой договор прилага клиентският софтуер, защото настройката по подразбиране за пълен тунел може тихо да достави по-широката.

Граница първа: домашната мрежа

Гост трафикът няма никаква работа в домашните мрежи. Отделна VPN подмрежа или отделен сегмент за хостинг прави тази политика по-лесна за изразяване, но различното име само по себе си не налага нищо. Назовете устройството, което наистина движи пакетите, и дръжте правилата за пресичане там, защото правило, написано на машина, която не препраща, е украшение. Когато VPN работи на рутера, тази точка за налагане е собствената верига за препращане на рутера.

Гост мрежа с изолация на клиентите е разумна алтернатива, стига VPN клиентите наистина да попадат в нея. И двата дизайна се нуждаят от същия тест от клиент, а не от конзолата.

Граница втора: хостът и другите гости

Клиентите се нуждаят от VPN услугата и нищо друго на машината, която я изпълнява, затова административният достъп остава отделно разрешение. Именно то се дава най-често по случайност, защото слушателят на тунела и административният интерфейс са на една и съща кутия. Ако VPN завършва на рутера, портът на тунела и уеб или SSH интерфейсът са различни субекти и заслужават различни правила. Правило, което защитава страница за вход, никога не бива да се чете като забрана за препращане.

Достъпът до интернет също не изисква един поканен клиент да достига друг. Пулът за отдалечен достъп често се държи като споделен сегмент, освен ако не кажете друго, затова направете решението явно в конфигурацията на пула. За шепа приятели изолацията е настройката по подразбиране, която си струва да изберете.

Начертайте пътищата, преди да пишете правила

Самостоятелното устройство има два отделни набора пакети за контрол: тези, които завършват на него, и тези, които то препраща от името на клиент. Мрежовите насоки на CISA разглеждат входящите, изходящите и междумрежовите пътища като достъп, който се нуждае от обосновка, и това е правилната рамка тук. Избройте домашните префикси такива, каквито са, IPv4 и IPv6 и двете, защото блокиране само на IPv4 оставя дом, който също маршрутизира IPv6, напълно отворен на същата граница. После решете как клиентите получават DNS и дали някое изключение за резолвера излага само предназначената услуга.

Това са изисквания, а не универсална рецепта, защото правилата зависят от това къде завършва VPN и къде се извършва транслацията. Избягвайте добавянето на широко разрешение само за да мине първата заявка от браузъра.

Какво поемате и как да го тествате

Споделянето на изход създава оперативна роля. Поканете хора чрез модела за идентичност на услугата, направете премахването практично, поддържайте хоста и рутера и решете колко от вашата изходяща скорост услугата може да използва. Заявките излизат от вашия адрес, затова оплакванията и проблемите с репутацията пристигат на вашата врата, дори когато не е пипано частно устройство. Техническият дизайн за изолация не казва нищо за правното положение и ограничаването на трафика до обичайните уеб портове не прави всяка разрешена дейност безвредна.

После тествайте отказите с оторизиран клиент, а не от конзолата на рутера. Всяко от следните трябва да е в сила:

• Достъпът до интернет работи от гост тунела.
• NAS и принтерите се отказват по адрес и по име.
• Администрацията на рутера се отказва от адреса на тунела.
• Втори поканен клиент е недостъпен.
• Премахването на оторизацията на клиента наистина прекратява достъпа.

Ако собственикът не може да поддържа тези граници и оперативните задължения, предаването на конфигурационен файл омаловажава това, което уредбата иска от него. Това е честното описание на услугата и то принадлежи в съобщението, което пътува с конфигурацията.