Hjemme-VPN til venner: del udgangen, ikke LAN'et

At sige, at en ven må browse gennem din hjemmeforbindelse, er ikke det samme som at sige, at han må bruge dit hjemmenetværk, og forskellen mellem de to sætninger rummer NAS'en, printerne, routerens admin-side og alle andre enheder på LAN'et. Hver ordning har brug for sine egne videresendelsesregler. De fleste hændelser med delt VPN, jeg hører om, er ikke eksotiske angreb; det er en gæst, der nåede noget, fordi ingen skrev ned, hvilken grænse der blev købt. Beslut, hvilken kontrakt du tilbyder, og udtryk den derefter i videresendelses- og adgangspolitik i stedet for i en besked.

To kontrakter, der lyder ens

Kun internet betyder, at den inviterede klients trafik forlader gennem din forbindelse og intet videre. Fuld adgang betyder, at samme klient også tilslutter sig dit lokale netværk, og den anden kontrakt indeholder stiltiende den første, og det er sådan, folk glider ind i den. Forskellen koger ned til en håndfuld videresendelsesregler, og det er også forskellen mellem at dele båndbredde og at dele et hus. Skriv kontrakten ned, før du rører ved brandmuren, for en regel, du tilføjer bagefter, er lettere at retfærdiggøre end at fjerne.

Vælg kontrakten med kun internet, medmindre nogen virkelig har brug for en LAN-tjeneste, for en regel, du aldrig skrev, er en tilladelse, du aldrig gav. Kontroller derefter, hvilken kontrakt klientsoftwaren implementerer, for en standard med fuld tunnel kan stille levere den bredere.

Grænse et: husstandens netværk

Gæstetrafik har slet ikke noget at gøre på husstandens netværk. Et separat VPN-subnet eller et dedikeret hostingsegment gør den politik lettere at udtrykke, men det anderledes navn håndhæver intet i sig selv. Navngiv den enhed, der faktisk flytter pakkerne, og hold krydsningsreglerne der, for en regel skrevet på en maskine, der ikke videresender, er dekoration. Når VPN'en kører på routeren, er håndhævelsespunktet routerens egen videresendelseskæde.

Et gæstenetværk med klientisolering er et rimeligt alternativ, forudsat at VPN-klienterne faktisk lander på det. Begge designs har brug for den samme test fra en klient i stedet for fra konsollen.

Grænse to: værten og de andre gæster

Klienter har brug for VPN-tjenesten og intet andet på den maskine, der kører den, så administrationsadgang forbliver en separat tilladelse. Det er den, der oftest gives ved et uheld, fordi tunnel-lytteren og administrationsgrænsefladen sidder på samme boks. Hvis VPN'en terminerer på routeren, er tunnelporten og web- eller SSH-grænsefladen forskellige emner og fortjener forskellige regler. En regel, der beskytter en login-side, bør aldrig læses som et forbud mod videresendelse.

Internetadgang kræver heller ikke, at man lader én inviteret klient nå en anden. Fjernadgangspuljer opfører sig ofte som et delt segment, medmindre du siger andet, så gør beslutningen eksplicit i puljekonfigurationen. For en håndfuld venner er isolering den standard, der er værd at vælge.

Kortlæg stierne, før du skriver regler

Et selvstændigt apparat har to separate sæt pakker at politi: dem, der terminerer på det, og dem, det videresender på vegne af en klient. CISA's netværksvejledning behandler indgående, udgående og netværksinterne stier som adgang, der kræver begrundelse, hvilket er den rigtige ramme her. List husstandens præfikser, som de faktisk er, både IPv4 og IPv6, for en blokering, der kun dækker IPv4, efterlader en husstand, der også router IPv6, helt åben ved samme grænse. Beslut derefter, hvordan klienter får DNS, og om en undtagelse i resolveren kun blotlægger den tilsigtede tjeneste.

Det er krav og ikke en universel opskrift, for reglerne afhænger af, hvor VPN'en terminerer, og hvor oversættelsen sker. Undgå at tilføje en bred tilladelse bare for at få den første browseranmodning til at lykkes.

Hvad du påtager dig, og hvordan du tester det

At dele en udgang skaber en driftsrolle. Inviter folk gennem tjenestens identitetsmodel, gør fjernelse praktisk, hold værten og routeren vedlige, og beslut, hvor meget af din upload tjenesten må bruge. Anmodninger forlader din adresse, så klager og omdømmeproblemer kommer til din dør, selv når ingen privat enhed blev rørt. Et teknisk isoleringsdesign siger intet om den juridiske stilling, og at begrænse trafik til almindelige webporte gør ikke enhver tilladt aktivitet uskadelig.

Test derefter afvisningerne med en autoriseret klient i stedet for fra routerkonsollen. Hvert af følgende skal holde:

• Internetadgang virker fra gæstetunnelen.
• NAS og printere afvises efter adresse og efter navn.
• Routeradministration afvises fra tunneladressen.
• En anden inviteret klient er utilgængelig.
• Fjernelse af klientens autorisation afslutter faktisk adgangen.

Hvis ejeren ikke kan vedligeholde disse grænser og driftsopgaverne, undervurderer overdragelsen af en konfigurationsfil, hvad ordningen kræver af ham. Det er den ærlige beskrivelse af tjenesten, og den hører i den besked, der rejser med konfigurationen.