VPN cartref i ffrindiau: rhannwch yr allanfa, nid y LAN

Nid yw dweud y gall ffrind bori drwy eich cysylltiad cartref yr un peth â dweud y gall ddefnyddio eich rhwydwaith cartref, ac mae'r bwlch rhwng y ddwy frawddeg honno yn cynnwys y NAS, y printwyr, tudalen weinyddol y llwybrydd a phob dyfais arall ar y LAN. Mae angen ei reolau anfon ei hun ar bob trefniant. Nid ymosodiadau ecsotig yw'r rhan fwyaf o ddigwyddiadau VPN a rennir y clywaf amdanynt; gwestai a gyrhaeddodd rywbeth ydynt oherwydd na ysgrifennodd neb pa ffin a oedd yn cael ei phrynu. Penderfynwch pa gontract rydych yn ei gynnig, yna mynegwch ef ym mholisi anfon a mynediad yn hytrach nag mewn neges.

Dau gontract sy'n swnio'r un fath

Rhyngrwyd yn unig sy'n golygu bod traffig y cleient a wahoddwyd yn gadael drwy eich cysylltiad a dim byd ymhellach. Mae mynediad llawn yn golygu bod yr un cleient hefyd yn ymuno â'ch rhwydwaith lleol, ac mae'r ail gontract hwnnw'n cynnwys y cyntaf yn ddistaw, a dyna sut mae pobl yn llithro iddo. Mae'r gwahaniaeth yn dod i lawr i lond llaw o reolau anfon, ac mae hefyd yn wahaniaeth rhwng rhannu lled band a rhannu tŷ. Ysgrifennwch y contract cyn i chi gyffwrdd â'r mur tân, oherwydd mae rheol a ychwanegwch wedyn yn haws ei chyfiawnhau na'i thynnu.

Dewiswch y contract rhyngrwyd yn unig oni bai bod rhywun wir angen gwasanaeth LAN, oherwydd rheol na ysgrifennoch erioed yw caniatâd na roesoch erioed. Yna gwiriwch pa gontract mae'r meddalwedd cleient yn ei weithredu, oherwydd gall diofyn twnnel llawn ddanfon yr un ehangach yn ddistaw.

Ffin un: rhwydwaith y cartref

Nid oes gan draffig gwestai unrhyw fusnes o gwbl ar rwydweithiau'r cartref. Mae is-rwydwaith VPN ar wahân neu segment gwesteio pwrpasol yn gwneud y polisi hwnnw'n haws ei fynegi, ond nid yw'r enw gwahanol yn gorfodi dim ar ei ben ei hun. Enwch y ddyfais sy'n symud y pecynnau mewn gwirionedd a chadwch y rheolau croesi yno, oherwydd mae rheol a ysgrifennwyd ar beiriant nad yw'n anfon yn addurn. Pan fydd y VPN yn rhedeg ar y llwybrydd, y pwynt gorfodi hwnnw yw cadwyn anfon y llwybrydd ei hun.

Mae rhwydwaith gwestai ag arwahanu cleientiaid yn ddewis amgen rhesymol, ar yr amod bod cleientiaid VPN yn glanio arno mewn gwirionedd. Mae angen yr un prawf o gleient ar y ddau ddyluniad, yn hytrach nag o'r consol.

Ffin dau: y gwesteiwr a'r gwesteion eraill

Mae cleientiaid angen gwasanaeth y VPN a dim byd arall ar y peiriant sy'n ei redeg, felly mae mynediad rheoli yn parhau i fod yn ganiatâd ar wahân. Dyma'r un a roddir amlaf ar ddamwain, oherwydd bod gwrandawr y twnnel a'r rhyngwyneb gweinyddu ar yr un blwch. Os yw'r VPN yn terfynu ar y llwybrydd, mae porth y twnnel a'r rhyngwyneb gwe neu SSH yn bynciau gwahanol ac yn haeddu rheolau gwahanol. Ni ddylid byth darllen rheol sy'n amddiffyn tudalen mewngofnodi fel gwaharddiad ar anfon.

Nid yw mynediad i'r rhyngrwyd ychwaith yn gofyn am adael i un cleient a wahoddwyd gyrraedd un arall. Mae cronfeydd mynediad o bell yn aml yn ymddwyn fel segment a rennir oni bai eich bod yn dweud fel arall, felly gwnewch y penderfyniad yn glir yng nghyfluniad y gronfa. Ar gyfer llond llaw o ffrindiau, arwahanu yw'r diofyn sy'n werth ei ddewis.

Mapwch y llwybrau cyn ysgrifennu rheolau

Mae gan offeryn annibynnol ddwy set ar wahân o becynnau i'w plismona: y rhai sy'n terfynu arno a'r rhai y mae'n eu hanfon ar ran cleient. Canllawiau rhwydwaith CISA yn trin llwybrau i mewn, allan a rhwng rhwydweithiau fel mynediad sydd angen cyfiawnhad, sef y fframwaith cywir yma. Rhestrwch ragddodiaid y cartref fel y maent mewn gwirionedd, IPv4 ac IPv6 ill dau, oherwydd mae bloc IPv4 yn unig yn gadael cartref sy'n llwybro IPv6 hefyd yn gwbl agored ar yr un ffin. Yna penderfynwch sut mae cleientiaid yn cael DNS ac a yw unrhyw eithriad datryswr yn datgelu dim ond y gwasanaeth a fwriedir.

Gofynion yn hytrach na rysáit gyffredinol yw'r rhain, oherwydd mae'r rheolau'n dibynnu ar ble mae'r VPN yn terfynu a ble mae cyfieithu'n digwydd. Osgowch ychwanegu trwydded eang dim ond er mwyn i gais cyntaf y porwr lwyddo.

Beth rydych yn ei gymryd ymlaen, a sut i'w brofi

Mae rhannu allanfa yn creu rôl weithredol. Gwahoddwch bobl drwy fodel hunaniaeth y gwasanaeth, gwnewch dynnu'n ymarferol, cadwch y gwesteiwr a'r llwybrydd wedi'u cynnal, a phenderfynwch faint o'ch uwchlwytho y caiff y gwasanaeth ei ddefnyddio. Mae ceisiadau'n gadael o'ch cyfeiriad, felly daw cwynion a phroblemau enw da i'ch drws hyd yn oed pan na chyffyrddwyd ag unrhyw ddyfais breifat. Nid yw dyluniad arwahanu technegol yn dweud dim am y sefyllfa gyfreithiol, ac nid yw cyfyngu traffig i borthladdoedd gwe cyffredin yn gwneud pob gweithgaredd a ganiateir yn ddiniwed.

Yna profwch y gwrthodiadau gyda chleient awdurdodedig yn hytrach nag o gonsol y llwybrydd. Dylai pob un o'r rhain fod yn wir:

• Mae mynediad i'r rhyngrwyd yn gweithio o dwll gwestai.
• Mae NAS a printwyr yn cael eu gwrthod yn ôl cyfeiriad ac yn ôl enw.
• Mae gweinyddiaeth y llwybrydd yn cael ei gwrthod o gyfeiriad y twnnel.
• Nid oes modd cyrraedd ail gleient a wahoddwyd.
• Mae tynnu awdurdodiad y cleient yn dod â mynediad i ben mewn gwirionedd.

Os na all y perchennog gynnal y ffiniau hynny a'r dyletswyddau gweithredol, mae trosglwyddo ffeil gyfluniad yn tanbrisio'r hyn y mae'r trefniant yn ei ofyn ganddo. Dyna ddisgrifiad gonest y gwasanaeth, ac mae'n perthyn i'r neges sy'n teithio gyda'r cyfluniad.