Heim-VPN für Freunde: den Ausgang teilen, nicht das LAN

Zu sagen, ein Freund dürfe über Ihre Heimverbindung surfen, ist nicht dasselbe wie zu sagen, er dürfe Ihr Heimnetz benutzen, und die Lücke zwischen diesen beiden Sätzen enthält das NAS, die Drucker, die Admin-Seite des Routers und jedes andere Gerät im LAN. Jede Vereinbarung braucht ihre eigenen Weiterleitungsregeln. Die meisten Vorfälle mit gemeinsam genutztem VPN, von denen ich höre, sind keine exotischen Angriffe; es ist ein Gast, der etwas erreicht hat, weil niemand aufgeschrieben hat, welche Grenze gekauft wird. Entscheiden Sie, welchen Vertrag Sie anbieten, und drücken Sie ihn dann in Weiterleitungs- und Zugriffsrichtlinien aus statt in einer Nachricht.

Zwei Verträge, die gleich klingen

Nur Internet bedeutet, dass der Datenverkehr des eingeladenen Clients über Ihre Verbindung hinausgeht und nichts weiter. Voller Zugriff bedeutet, dass derselbe Client auch Ihrem lokalen Netz beitritt, und dieser zweite Vertrag schließt stillschweigend den ersten ein, und so rutschen Leute hinein. Der Unterschied läuft auf eine Handvoll Weiterleitungsregeln hinaus, und er ist auch der Unterschied zwischen Bandbreite teilen und ein Haus teilen. Schreiben Sie den Vertrag auf, bevor Sie die Firewall anfassen, denn eine später hinzugefügte Regel lässt sich leichter rechtfertigen als entfernen.

Wählen Sie den Nur-Internet-Vertrag, es sei denn, jemand braucht wirklich einen LAN-Dienst, denn eine Regel, die Sie nie geschrieben haben, ist eine Berechtigung, die Sie nie erteilt haben. Prüfen Sie dann, welchen Vertrag die Client-Software umsetzt, denn eine Standardeinstellung mit vollem Tunnel kann stillschweigend den weiteren liefern.

Grenze eins: das Heimnetz

Gastverkehr hat in den Heimnetzen überhaupt nichts zu suchen. Ein separates VPN-Subnetz oder ein eigenes Hosting-Segment macht diese Richtlinie leichter ausdrückbar, aber der andere Name erzwingt für sich genommen nichts. Benennen Sie das Gerät, das die Pakete tatsächlich bewegt, und halten Sie die Übergangsregeln dort, denn eine Regel auf einer Maschine, die nicht weiterleitet, ist Dekoration. Wenn das VPN auf dem Router läuft, ist dieser Durchsetzungspunkt die eigene Weiterleitungskette des Routers.

Ein Gastnetz mit Client-Isolierung ist eine vernünftige Alternative, sofern die VPN-Clients tatsächlich darauf landen. Beide Entwürfe brauchen denselben Test von einem Client statt von der Konsole.

Grenze zwei: der Host und die anderen Gäste

Clients brauchen den VPN-Dienst und nichts anderes auf der Maschine, die ihn ausführt, also bleibt Verwaltungszugriff eine separate Berechtigung. Sie ist die, die am häufigsten versehentlich erteilt wird, weil der Tunnel-Listener und die Administrationsoberfläche auf derselben Kiste sitzen. Wenn das VPN auf dem Router endet, sind der Tunnel-Port und die Weboberfläche oder SSH verschiedene Subjekte und verdienen verschiedene Regeln. Eine Regel, die eine Anmeldeseite schützt, sollte niemals als Verbot der Weiterleitung gelesen werden.

Internetzugang erfordert auch nicht, dass ein eingeladener Client einen anderen erreicht. Fernzugriffs-Pools verhalten sich oft wie ein gemeinsames Segment, wenn Sie nichts anderes sagen, also machen Sie die Entscheidung in der Pool-Konfiguration ausdrücklich. Für eine Handvoll Freunde ist Isolierung die Standardeinstellung, die es zu wählen lohnt.

Kartieren Sie die Pfade, bevor Sie Regeln schreiben

Ein eigenständiges Gerät hat zwei getrennte Paketsätze zu kontrollieren: die, die auf ihm enden, und die, die es im Namen eines Clients weiterleitet. CISAs Netzwerkempfehlungen behandeln eingehende, ausgehende und netzwerkübergreifende Pfade als Zugriff, der begründet werden muss, und das ist hier der richtige Rahmen. Listen Sie die Heim-Präfixe so auf, wie sie wirklich sind, IPv4 und IPv6 beide, denn eine reine IPv4-Sperre lässt einen Haushalt, der auch IPv6 routet, an derselben Grenze weit offen. Entscheiden Sie dann, wie Clients DNS bekommen und ob eine Resolver-Ausnahme nur den vorgesehenen Dienst offenlegt.

Das sind Anforderungen und kein allgemeingültiges Rezept, denn die Regeln hängen davon ab, wo das VPN endet und wo Übersetzung stattfindet. Vermeiden Sie es, eine breite Freigabe nur hinzuzufügen, damit die erste Browseranfrage gelingt.

Was Sie übernehmen und wie Sie es testen

Einen Ausgang zu teilen schafft eine Betriebsrolle. Laden Sie Leute über das Identitätsmodell des Dienstes ein, machen Sie die Entfernung praktikabel, halten Sie Host und Router instand und entscheiden Sie, wie viel Ihres Uploads der Dienst nutzen darf. Anfragen gehen von Ihrer Adresse aus, also kommen Beschwerden und Reputationsprobleme an Ihre Tür, selbst wenn kein privates Gerät berührt wurde. Ein technisches Isolierungskonzept sagt nichts über die rechtliche Lage, und den Verkehr auf gängige Web-Ports zu beschränken macht nicht jede erlaubte Aktivität harmlos.

Testen Sie dann die Ablehnungen mit einem autorisierten Client statt von der Router-Konsole. Jedes der folgenden muss gelten:

• Internetzugang funktioniert aus dem Gast-Tunnel.
• NAS und Drucker werden nach Adresse und nach Namen abgelehnt.
• Router-Administration wird von der Tunnel-Adresse abgelehnt.
• Ein zweiter eingeladener Client ist nicht erreichbar.
• Das Entfernen der Autorisierung des Clients beendet den Zugang tatsächlich.

Wenn der Eigentümer diese Grenzen und die Betriebspflichten nicht aufrechterhalten kann, unterschätzt die Übergabe einer Konfigurationsdatei, was die Vereinbarung ihm abverlangt. Das ist die ehrliche Beschreibung des Dienstes, und sie gehört in die Nachricht, die mit der Konfiguration reist.