Zveřejnění domácí VPN: co vlastně vystavujete

Přesměrujete jeden port pro tunel a říkáte si, že změna je omezená. V praxi port pouze propouští pakety; to, co je za ním, je vystavení. Tři věci toto vystavení určují: socket naslouchající na veřejné straně, identita, kterou tunel přijímá, a cíle, na které tato identita pak může dosáhnout. Každá potřebuje vlastní odpověď, protože pečlivá volba v jedné neomezuje ostatní.

Přesměrování portu není služba

Pravidlo routeru přesouvá pakety k hostiteli; nepojmenovává proces, který je čte. Stránka přesměrování a naslouchající socket žijí na různých místech, proto pravidlo může ukazovat na stroj, který už službu nespouští. Chcete-li zjistit, co skutečně odpovídá, podívejte se na hostitele: ss -lntup vypisuje každý naslouchající socket s procesem, který ho vlastní. Potom tento proces přiřaďte ke komponentě, verzi a vlastníkovi.

Odstranění pravidla, které si pamatujete, že jste vytvořili, nezavře dveře. Mapování UPnP se mohlo přidat samo, adresa IPv6 může zůstat dostupná poté, co položka IPv4 zmizí, a druhý způsob publikování může existovat na jiném stroji. Přečtěte si seznam mapování UPnP routeru i jeho statické položky a poté testujte zvenčí sítě.

Přihlášení není oprávnění k LAN

Tunel rozhoduje, kdo se může připojit; prostředky rozhodují, co připojený klient může otevřít. Pokyny NIST k nulové důvěře dělají stejné rozdělení v síťovém měřítku: adresa neprokazuje nic o autorizaci. Dejte jednomu zapsanému notebooku jeden úkol, například čtení sdílené složky na pojmenovaném hostiteli, a tuto dvojici zapište. Adresa tunelu by neměla dědit přístup správce ke zbytku domu.

Prozkoumejte také cesty, které shrnutí vynechává: provoz klient-klient, členství v mostu, internetové přesměrování a překlad zdroje. Každá může spojit dva systémy, které váš psaný úkol nikdy nezmiňuje. Vypněte ty, které úkol nepotřebuje, a poté vypište, kam se klient ještě dostane.

Čistý sken dokazuje velmi málo

Otevřený port je fakt o jedné adrese a jednom protokolu; úspěšné přihlášení je fakt o jednom pověření. Ani jedno neříká, co se stane dál. Otestujte zamýšlenou operaci na zamýšleném hostiteli, poté zkuste identitu, která nebyla nikdy zapsána, službu, kterou nikdo neschválil, a rozhraní pro správu, které má zůstat soukromé. Poslední test obvykle selže.

Otestujte obě rodiny adres a každou cestu, kterou publikujete. Sken adresy IPv4 neříká nic o naslouchající službě IPv6 a interní test nevidí problém smyčky NAT ani filtr výše po proudu. Spusťte alespoň jednu kontrolu zvenčí, na spojení, které se nevrací přes stejný router.

Zapište vystavení

Krátká tabulka promění revizi v něco, co může další člověk auditovat. Vyplňte ji zvenčí dovnitř, jeden řádek na dostupnou službu, a uchovávejte ji s konfigurací, ne ve vlákně chatu. Pokud řádek nemá vlastníka, je to zjištění.

Řádky, které říkají jen “VPN”, ještě nejsou řádky. Řádek potřebuje socket, hostitele, identitu a cíl, protože to je to, co by auditor nebo útočník testoval.

Naplánujte vyřazení dřív, než ho budete potřebovat

Tunel, který nemůžete odvolat, jsou trvalé dveře. Předem rozhodněte, jak odebrat pověření zařízení, ukončit živou relaci a obnovit přístup poté, co upgrade rozbije službu. Udržujte cestu obnovy, která nevede tunelem, protože tunel je to, co budete opravovat. Uložte ji tam, kam se dostanete bez toho stroje.

Revize je hotová, když zamýšlený cíl funguje a nežádoucí ne. Není to záruka, že žádná zranitelnost neexistuje, a zelený štítek skeneru nenahrazuje ani jedno. Předejte tabulku a poznámku k obnově tomu, kdo nastavení zdědí.