Publicar una VPN domèstica: què exposeu realment

Desvieu un port per al túnel i us dieu que el canvi és limitat. A la pràctica, el port només admet paquets; el que hi ha darrere és l'exposició. Tres coses decideixen aquesta exposició: el sòcol que escolta a la banda pública, la identitat que el túnel accepta i les destinacions que aquesta identitat pot tocar després. Cadascuna necessita la seva pròpia resposta, perquè una elecció acurada en una no limita les altres.

Desviar un port no és un servei

Una regla del router mou paquets cap a un amfitrió; no anomena el procés que els llegeix. La pàgina de desviament i el sòcol que escolta viuen en llocs diferents, per això una regla pot apuntar a una màquina que ja no executa el servei. Per esbrinar què respon realment, mireu l'amfitrió: ss -lntup llista cada sòcol que escolta amb el procés que el posseeix. Després feu correspondre aquest procés amb un component, una versió i un propietari.

Eliminar la regla que recordeu haver creat no tanca la porta. Un mapatge UPnP pot haver-se afegit sol, una adreça IPv6 pot seguir sent accessible després que l'entrada IPv4 desaparegui, i un segon mètode de publicació pot existir en una altra màquina. Llegiu la llista de mapatges UPnP del router i les seves entrades estàtiques, i després proveu des de fora de la xarxa.

Un inici de sessió no és un permís de LAN

El túnel decideix qui es pot connectar; els recursos decideixen què pot obrir un client connectat. La guia de confiança zero de NIST fa la mateixa separació a escala de xarxa: una adreça no demostra res sobre l'autorització. Doneu a un portàtil inscrit una tasca, com llegir un recurs compartit en un amfitrió anomenat, i anoteu aquesta parella. Una adreça de túnel no hauria d'heretar accés d'administrador a la resta de la casa.

Inspeccioneu també els camins que un resum omet: trànsit client a client, pertinença al pont, reenviament a internet i traducció d'origen. Cadascun pot unir dos sistemes que la vostra tasca escrita no esmenta. Desactiveu els que la tasca no necessita i després llisteu què pot assolir encara el client.

Un escaneig net demostra molt poc

Un port obert és un fet sobre una adreça i un protocol; un inici de sessió correcte és un fet sobre una credencial. Cap dels dos diu què passa després. Proveu l'operació prevista a l'amfitrió previst, després proveu una identitat que mai no es va inscriure, un servei que ningú no va aprovar i la interfície de gestió que hauria de romandre privada. L'última prova sol ser la que falla.

Proveu les dues famílies d'adreces i cada camí que publiqueu. Un escaneig de l'adreça IPv4 no diu res sobre un servei IPv6 que escolta, i una prova interna no pot veure un problema de bucle NAT ni un filtre anterior. Feu almenys una comprovació des de fora, en una connexió que no torni pel mateix router.

Escriviu l'exposició

Una taula curta converteix la revisió en una cosa que la següent persona pot auditar. Ompliu-la de fora cap a dins, una fila per servei accessible, i guardeu-la amb la configuració, no en un fil de xat. Si una fila no té propietari, això és una troballa.

Les files que només diuen “la VPN” encara no són files. Una fila necessita el sòcol, l'amfitrió, la identitat i la destinació, perquè això és el que provaria un auditor o un atacant.

Planifiqueu la retirada abans que calgui

Un túnel que no podeu revocar és una porta permanent. Decidiu per endavant com retirar una credencial de dispositiu, acabar una sessió activa i restaurar l'accés després que una actualització trenqui el servei. Manteniu una ruta de recuperació que no passi pel túnel, perquè el túnel és el que reparareu. Guardeu-la on hi pugueu arribar sense aquella màquina.

La revisió acaba quan la destinació prevista funciona i les no desitjades no. No és una garantia que no existeixi cap vulnerabilitat, i l'etiqueta verda d'un escàner no substitueix cap de les dues. Lliureu la taula i la nota de recuperació a qui hereti la configuració.