VPN domèstic per a amics: compartiu la sortida, no la LAN

Dir que un amic pot navegar per la vostra connexió de casa no és el mateix que dir que pot fer servir la vostra xarxa domèstica, i l'espai entre aquestes dues frases conté el NAS, les impressores, la pàgina d'administració del router i tots els altres dispositius de la LAN. Cada arranjament necessita les seves pròpies regles de reenviament. La majoria d'incidents de VPN compartida que sento no són atacs exòtics; són un convidat que va arribar a alguna cosa perquè ningú va escriure quina frontera es comprava. Decidiu quin contracte oferiu i després expresseu-lo en la política de reenviament i accés, no en un missatge.

Dos contractes que sonen igual

Només internet vol dir que el trànsit del client convidat surt per la vostra connexió i res més enllà. Accés complet vol dir que el mateix client també s'uneix a la vostra xarxa local, i aquest segon contracte inclou silenciosament el primer, i així és com la gent hi cau. La diferència es redueix a un grapat de regles de reenviament, i també és la diferència entre compartir amplada de banda i compartir una casa. Escriviu el contracte abans de tocar el tallafoc, perquè una regla que afegiu després és més fàcil de justificar que de treure.

Trieu el contracte només d'internet tret que algú necessiti realment un servei a la LAN, perquè una regla que mai no vau escriure és un permís que mai no vau concedir. Després comproveu quin contracte implementa el programari del client, perquè un valor per defecte de túnel complet pot lliurar silenciosament el més ampli.

Frontera u: la xarxa de la llar

El trànsit dels convidats no hi té res a fer, a les xarxes de la llar. Una subxarxa VPN separada o un segment d'allotjament dedicat fan que aquesta política sigui més fàcil d'expressar, però el nom diferent no imposa res per si sol. Anomeneu el dispositiu que realment mou els paquets i manteniu-hi les regles de creuament, perquè una regla escrita en una màquina que no reenvia és decoració. Quan la VPN s'executa al router, aquest punt d'aplicació és la cadena de reenviament del mateix router.

Una xarxa de convidats amb aïllament de clients és una alternativa raonable, sempre que els clients de la VPN hi arribin realment. Tots dos dissenys necessiten la mateixa prova des d'un client, no des de la consola.

Frontera dos: l'amfitrió i els altres convidats

Els clients necessiten el servei de VPN i res més a la màquina que l'executa, així que l'accés de gestió continua sent un permís separat. És el que més sovint es concedeix per accident, perquè l'oient del túnel i la interfície d'administració són a la mateixa caixa. Si la VPN acaba al router, el port del túnel i la interfície web o SSH són subjectes diferents i mereixen regles diferents. Una regla que protegeix una pàgina d'inici de sessió no s'ha de llegir mai com una prohibició de reenviar.

L'accés a internet tampoc no requereix permetre que un client convidat arribi a un altre. Els pools d'accés remot sovint es comporten com un segment compartit si no dieu el contrari, així que feu la decisió explícita a la configuració del pool. Per a un grapat d'amics, l'aïllament és el valor per defecte que val la pena triar.

Mapa les rutes abans d'escriure regles

Un aparell autònom té dos conjunts separats de paquets per vigilar: els que acaben en ell i els que retransmet en nom d'un client. Les directrius de xarxa de CISA tracten les rutes d'entrada, de sortida i entre xarxes com a accés que necessita justificació, que és l'enfocament correcte aquí. Llisteu els prefixos de la llar tal com són, IPv4 i IPv6 tots dos, perquè un bloc només d'IPv4 deixa una llar que també encamina IPv6 completament oberta a la mateixa frontera. Després decidiu com obtenen DNS els clients i si alguna excepció del resolutor exposa només el servei previst.

Són requisits i no una recepta universal, perquè les regles depenen d'on acaba la VPN i on es fa la traducció. Eviteu afegir un permís ampli només perquè la primera petició del navegador funcioni.

Què assumiu i com provar-ho

Compartir una sortida crea un rol operatiu. Convideu la gent a través del model d'identitat del servei, feu pràctica la retirada, manteniu l'amfitrió i el router i decidiu quanta de la vostra pujada pot fer servir el servei. Les peticions surten de la vostra adreça, així que les queixes i els problemes de reputació arriben a la vostra porta encara que no s'hagi tocat cap dispositiu privat. Un disseny tècnic d'aïllament no diu res sobre la posició legal, i restringir el trànsit a ports web habituals no fa inofensiva tota activitat permesa.

Després proveu les denegacions amb un client autoritzat i no des de la consola del router. Cadascuna d'aquestes ha de complir-se:

• L'accés a internet funciona des del túnel de convidat.
• El NAS i les impressores es rebutgen per adreça i per nom.
• L'administració del router es rebutja des de l'adreça del túnel.
• Un segon client convidat no és accessible.
• Treure l'autorització del client acaba realment amb l'accés.

Si el propietari no pot mantenir aquestes fronteres i les tasques operatives, lliurar un fitxer de configuració subestima què demana l'arranjament. Aquesta és la descripció honesta del servei, i pertany al missatge que viatja amb la configuració.