Публикуване на домашен VPN: какво всъщност разкривате

Пренасочвате един порт за тунела и си казвате, че промяната е ограничена. На практика портът само пропуска пакети; това, което стои зад него, е излагането. Три неща определят излагането: сокетът, който слуша от публичната страна, идентичността, която тунелът приема, и дестинациите, до които тази идентичност може да стигне. Всяко има нужда от собствен отговор, защото внимателният избор в едното не ограничава другите.

Пренасочването на порт не е услуга

Правилото на рутера движи пакети към хост; то не назовава процеса, който ги чете. Страницата за пренасочване и слушащият сокет живеят на различни места, затова правилото може да сочи машина, която вече не изпълнява услугата. За да разберете какво всъщност отговаря, погледнете на хоста: ss -lntup изброява всеки слушащ сокет с процеса, който го притежава. След това съпоставете този процес с компонент, версия и собственик.

Премахването на правилото, което си спомняте, че сте създали, не затваря вратата. UPnP съпоставяне може да се е добавило само, IPv6 адрес може да остане достъпен, след като IPv4 записът изчезне, и втори метод за публикуване може да съществува на друга машина. Прочетете списъка с UPnP съпоставяния на рутера, както и статичните му записи, после тествайте отвън мрежата.

Входът не е разрешение за LAN

Тунелът решава кой може да се свърже; ресурсите решават какво може да отвори свързан клиент. Насоките на NIST за нулево доверие правят същото разделение в мрежов мащаб: адресът не доказва нищо за оторизацията. Дайте на един регистриран лаптоп една задача, например четене на файлово споделяне на посочен хост, и запишете тази двойка. Тунелният адрес не бива да наследява администраторски достъп до останалата част от дома.

Прегледайте и пътищата, които обобщението пропуска: трафик клиент-към-клиент, членство в мост, интернет пренасочване и транслация на източника. Всяко може да свърже две системи, които писмената ви задача не споменава. Изключете ненужните за задачата, после избройте до какво клиентът все още може да стигне.

Чистото сканиране доказва много малко

Отвореният порт е факт за един адрес и един протокол; успешният вход е факт за едни идентификационни данни. Нито едно не казва какво следва. Тествайте предвидената операция на предвидения хост, после опитайте идентичност, която никога не е регистрирана, услуга, която никой не е одобрил, и интерфейса за управление, който трябва да остане частен. Последният тест обикновено е този, който се проваля.

Тествайте двете семейства адреси и всеки път, който публикувате. Сканиране на IPv4 адреса не казва нищо за слушаща IPv6 услуга, а вътрешният тест не може да види проблем със задната връзка на NAT или филтър по-нагоре. Изпълнете поне една проверка отвън, на връзка, която не се връща през същия рутер.

Запишете излагането

Кратка таблица превръща прегледа в нещо, което следващият човек може да одитира. Попълнете я отвън навътре, един ред за всяка достъпна услуга, и я пазете с конфигурацията, не в чат. Ако редът няма собственик, това е констатация.

Редове, които казват само “VPN”, още не са редове. Редът се нуждае от сокета, хоста, идентичността и дестинацията, защото точно това би тествал одитор или нападател.

Планирайте оттеглянето, преди да ви потрябва

Тунел, който не можете да отмените, е постоянна врата. Решете предварително как да оттеглите идентификационни данни на устройство, да прекратите жива сесия и да възстановите достъп, след като надстройка счупи услугата. Пазете път за възстановяване, който не минава през тунела, защото тунелът е това, което ще ремонтирате. Съхранете го там, където можете да го достигнете без тази машина.

Прегледът е завършен, когато желаната дестинация работи, а нежеланите не. Това не е гаранция, че няма уязвимост, и зеленият етикет на скенер не замества нито едното. Предайте таблицата и бележката за възстановяване на този, който наследи настройката.