Objavljivanje kućnog VPN-a: šta zapravo izlažete

Prosljeđujete jedan port za tunel i govorite sebi da je promjena ograničena. U praksi port propušta samo pakete; ono što stoji iza njega je izloženost. Tri stvari određuju tu izloženost: socket koji sluša na javnoj strani, identitet koji tunel prihvaća i odredišta do kojih taj identitet zatim može doći. Svako traži vlastiti odgovor, jer pažljiv izbor u jednom ne ograničava ostale.

Prosljeđivanje porta nije usluga

Pravilo rutera pomjera pakete prema hostu; ono ne imenuje proces koji ih čita. Stranica za prosljeđivanje i socket koji sluša žive na različitim mjestima, zato pravilo može pokazivati na mašinu koja više ne pokreće uslugu. Da saznate šta zaista odgovara, pogledajte na hostu: ss -lntup navodi svaki socket koji sluša zajedno s procesom koji ga posjeduje. Zatim uparite taj proces s komponentom, verzijom i vlasnikom.

Uklanjanje pravila za koje se sjećate da ste ga napravili ne zatvara vrata. UPnP mapiranje se možda samo dodalo, IPv6 adresa može ostati dostupna nakon što IPv4 unos nestane, a drugi način objavljivanja može postojati na drugoj mašini. Pročitajte listu UPnP mapiranja rutera kao i njegove statičke unose, pa testirajte izvan mreže.

Prijava nije LAN dozvola

Tunel odlučuje ko se može povezati; resursi odlučuju šta povezani klijent može otvoriti. NIST smjernice za nulto povjerenje prave istu podjelu na mrežnoj skali: adresa ne dokazuje ništa o autorizaciji. Dajte jednom upisanom laptopu jedan zadatak, kao što je čitanje dijeljenog foldera na imenovanom hostu, i zapišite taj par. Adresa tunela ne treba naslijediti administratorski pristup ostatku kuće.

Pregledajte i putanje koje sažetak izostavlja: saobraćaj klijent-klijent, članstvo u mostu, internetsko prosljeđivanje i prevođenje izvora. Svako može spojiti dva sistema koja vaš pisani zadatak nikad ne spominje. Isključite ono što zadatku ne treba, pa navedite do čega klijent još može doći.

Čist sken dokazuje vrlo malo

Otvoren port je činjenica o jednoj adresi i jednom protokolu; uspješna prijava je činjenica o jednom akreditivu. Nijedno ne kaže šta se događa dalje. Testirajte predviđenu operaciju na predviđenom hostu, pa pokušajte identitet koji nikad nije upisan, uslugu koju niko nije odobrio i upravljačko sučelje koje treba ostati privatno. Posljednji test obično je onaj koji pada.

Testirajte obje porodice adresa i svaku putanju koju objavljujete. Skeniranje IPv4 adrese ne govori ništa o IPv6 usluzi koja sluša, a interni test ne može vidjeti problem NAT povratne petlje ili filter uzvodno. Pokrenite barem jednu provjeru izvana, na vezi koja se ne vraća kroz isti ruter.

Zapišite izloženost

Kratka tabela pretvara pregled u nešto što sljedeća osoba može revidirati. Popunite je izvana prema unutra, jedan red po dostupnoj usluzi, i čuvajte je uz konfiguraciju, ne u chat niti. Ako red nema vlasnika, to je nalaz.

Redovi koji samo kažu “VPN” još nisu redovi. Redu trebaju socket, host, identitet i odredište, jer to je ono što bi revizor ili napadač testirao.

Planirajte umirovljenje prije nego što vam zatreba

Tunel koji ne možete opozvati trajna su vrata. Unaprijed odlučite kako povući akreditiv uređaja, završiti živu sesiju i vratiti pristup nakon što nadogradnja pokvari uslugu. Držite put oporavka koji ne ide kroz tunel, jer tunel je ono što ćete popravljati. Pohranite ga gdje mu možete pristupiti bez te mašine.

Pregled je završen kada predviđeno odredište radi, a neželjena ne. To nije garancija da nema ranjivosti, i zelena oznaka skenera ne zamjenjuje nijedno. Predajte tabelu i bilješku o oporavku onome ko naslijedi postavku.