Udgiv en hjemme-VPN: hvad du faktisk eksponerer

Du viderer én port til tunnelen og fortæller dig selv, at ændringen er afgrænset. I praksis lukker porten kun pakker ind; det, der ligger bag den, er eksponeringen. Tre ting afgør den eksponering: soklen, der lytter på den offentlige side, identiteten som tunnelen accepterer, og de destinationer, som identiteten derefter kan nå. Hver især kræver sit eget svar, fordi et omhyggeligt valg i én ikke begrænser de andre.

Videresendelse af en port er ikke en tjeneste

En routerregel flytter pakker mod en vært; den navngiver ikke den proces, der læser dem. Videresendelsessiden og den lyttende sokkel ligger forskellige steder, og derfor kan en regel pege på en maskine, der ikke længere kører tjenesten. For at finde ud af, hvad der faktisk svarer, skal du se på værten: ss -lntup viser hver lyttende sokkel med den proces, der ejer den. Match derefter processen med en komponent, en version og en ejer.

At fjerne reglen, som du husker at have oprettet, lukker ikke døren. En UPnP-mapping kan have tilføjet sig selv, en IPv6-adresse kan forblive tilgængelig, efter at IPv4-posten er væk, og en anden publiceringsmetode kan findes på en anden maskine. Læs routerens UPnP-mappingliste samt dens statiske poster, og test derefter udefra netværket.

Et login er ikke en LAN-tilladelse

Tunnelen afgør, hvem der må forbinde; ressourcerne afgør, hvad en tilsluttet klient må åbne. NISTs nul-tillidsvejledning laver samme opdeling på netværksskala: en adresse beviser intet om autorisation. Giv én registreret bærbar én opgave, for eksempel at læse en filshare på en navngivet vært, og skriv det par ned. En tunneladresse bør ikke arve administratoradgang til resten af huset.

Undersøg også de stier, som et resumé udelader: klient-til-klient-trafik, bromedlemskab, internettet-videresendelse og kildeoversættelse. Hver af dem kan forbinde to systemer, som din skriftlige opgave aldrig nævner. Slå dem fra, som opgaven ikke har brug for, og list derefter, hvad klienten stadig kan nå.

En ren scanning beviser meget lidt

En åben port er et faktum om én adresse og én protokol; et vellykket login er et faktum om én legitimationsoplysning. Ingen af dem siger, hvad der sker bagefter. Test den tilsigtede handling på den tilsigtede vært, prøv derefter en identitet, der aldrig blev registreret, en tjeneste, som ingen godkendte, og den administrationsflade, der bør forblive privat. Den sidste test er normalt den, der fejler.

Test begge adressefamilier og hver sti, du publicerer. En scanning af IPv4-adressen siger intet om en lyttende IPv6-tjeneste, og en intern test kan ikke se et NAT-loopback-problem eller et filter længere oppe. Kør mindst én kontrol udefra på en forbindelse, der ikke kommer tilbage gennem den samme router.

Skriv eksponeringen ned

En kort tabel gør gennemgangen til noget, den næste person kan revidere. Udfyld den udefra og ind, én række pr. tilgængelig tjeneste, og opbevar den sammen med konfigurationen, ikke i en chattråd. Hvis en række ikke har nogen ejer, er det en konstatering.

Rækker, der kun siger “VPN”, er ikke rækker endnu. En række har brug for soklen, værten, identiteten og destinationen, fordi det er, hvad en revisor eller angriber ville teste.

Planlæg nedlukningen, før du får brug for den

En tunnel, du ikke kan tilbagekalde, er en permanent dør. Beslut på forhånd, hvordan du trækker en enhedslegitimation tilbage, afslutter en live session og genopretter adgang, efter at en opgradering ødelægger tjenesten. Hold en gendannelsesrute, der ikke går gennem tunnelen, fordi tunnelen er det, du skal reparere. Opbevar den, hvor du kan nå den uden den maskine.

Gennemgangen er færdig, når den tilsigtede destination virker, og de uønskede ikke gør. Det er ikke en garanti for, at der ikke findes en sårbarhed, og en scanners grønne mærke erstatter ingen af delene. Giv tabellen og gendannelsesnoten videre til den, der arver opsætningen.