Domácí VPN pro přátele: sdílejte východ, ne LAN

Říct, že přítel může prohlížet přes vaše domácí připojení, není totéž jako říct, že může používat vaši domácí síť, a mezera mezi těmito dvěma větami obsahuje NAS, tiskárny, administrační stránku routeru a každé další zařízení v LAN. Každé uspořádání potřebuje vlastní pravidla přesměrování. Většina incidentů se sdílenou VPN, o kterých slyším, nejsou exotické útoky; je to host, který se dostal k něčemu, protože nikdo nezapsal, která hranice se kupuje. Rozhodněte, jakou smlouvu nabízíte, a pak ji vyjádřete v politice přesměrování a přístupu, ne ve zprávě.

Dvě smlouvy, které znějí stejně

Jen internet znamená, že provoz pozvaného klienta vychází přes vaše připojení a nic dál. Plný přístup znamená, že se stejný klient připojí i k vaší místní síti, a tato druhá smlouva tiše zahrnuje první, a tak do ní lidé zabřednou. Rozdíl se scvrkává na hrstku pravidel přesměrování a je to také rozdíl mezi sdílením šířky pásma a sdílením domu. Zapište smlouvu, než se dotknete firewallu, protože pravidlo přidané později se snáze ospravedlní, než odstraní.

Zvolte smlouvu jen pro internet, pokud někdo skutečně nepotřebuje službu v LAN, protože pravidlo, které jste nikdy nenapsali, je oprávnění, které jste nikdy nedali. Pak zkontrolujte, kterou smlouvu implementuje klientský software, protože výchozí nastavení plného tunelu může tiše dodat širší.

Hranice první: domácí síť

Hostovský provoz nemá v domácích sítích co dělat. Samostatná podsíť VPN nebo vyhrazený segment pro hostování usnadňuje vyjádření této politiky, ale jiné jméno samo o sobě nic nevynucuje. Pojmenujte zařízení, které skutečně přenáší pakety, a držte pravidla přechodu tam, protože pravidlo napsané na stroji, který nepřesměrovává, je dekorace. Když VPN běží na routeru, je tím místem vynucení vlastní přesměrovací řetězec routeru.

Hostovská síť s izolací klientů je rozumná alternativa, pokud na ni klienti VPN skutečně přistanou. Oba návrhy potřebují stejný test z klienta, ne z konzole.

Hranice druhá: hostitel a ostatní hosté

Klienti potřebují službu VPN a nic jiného na stroji, který ji provozuje, takže administrativní přístup zůstává samostatným oprávněním. Je to to, které se nejčastěji uděluje omylem, protože posluchač tunelu a administrativní rozhraní sedí na stejném boxu. Pokud VPN končí na routeru, port tunelu a webové nebo SSH rozhraní jsou různé subjekty a zaslouží si různá pravidla. Pravidlo, které chrání přihlašovací stránku, se nikdy nesmí číst jako zákaz přesměrování.

Přístup k internetu také nevyžaduje, aby jeden pozvaný klient dosáhl na druhého. Puly vzdáleného přístupu se často chovají jako sdílený segment, pokud neřeknete jinak, takže rozhodnutí udělejte explicitní v konfiguraci pulu. Pro hrstku přátel je izolace výchozí volba, kterou stojí za to zvolit.

Zmapujte cesty, než napíšete pravidla

Samostatné zařízení má dvě oddělené sady paketů ke správě: ty, které na něm končí, a ty, které přeposílá jménem klienta. Síťové pokyny CISA považují příchozí, odchozí a mezisíťové cesty za přístup, který potřebuje odůvodnění, což je zde správný rámec. Vyjmenujte domácí prefixy takové, jaké jsou, IPv4 i IPv6, protože blok jen pro IPv4 nechává domácnost, která také směruje IPv6, zcela otevřenou na stejné hranici. Pak rozhodněte, jak klienti získávají DNS a zda nějaká výjimka resolveru odhaluje jen zamýšlenou službu.

To jsou požadavky, ne univerzální recept, protože pravidla závisí na tom, kde VPN končí a kde probíhá překlad. Vyhněte se přidání širokého povolení jen proto, aby první požadavek prohlížeče prošel.

Co na sebe berete a jak to otestovat

Sdílení východu vytváří provozní roli. Zvěte lidi přes model identity služby, udělejte odebrání praktickým, udržujte hostitele a router a rozhodněte, kolik vašeho odesílání smí služba využít. Požadavky odcházejí z vaší adresy, takže stížnosti a problémy s reputací přicházejí k vašim dveřím, i když se žádné soukromé zařízení nedotklo. Technický návrh izolace neříká nic o právním postavení a omezení provozu na běžné webové porty nečiní každou povolenou činnost neškodnou.

Pak otestujte odmítnutí s autorizovaným klientem, ne z konzole routeru. Každé z následujícího musí platit:

• Přístup k internetu funguje z hostovského tunelu.
• NAS a tiskárny jsou odmítnuty podle adresy i podle jména.
• Správa routeru je odmítnuta z adresy tunelu.
• Druhý pozvaný klient je nedostupný.
• Odebrání autorizace klienta skutečně ukončí přístup.

Pokud vlastník nedokáže udržet tyto hranice a provozní povinnosti, předání konfiguračního souboru podceňuje, co od něj uspořádání žádá. To je čestný popis služby a patří do zprávy, která s konfigurací cestuje.