Ein Heim-VPN veröffentlichen: Was Sie tatsächlich freilegen

Sie leiten einen Port für den Tunnel weiter und sagen sich, die Änderung sei begrenzt. Tatsächlich lässt der Port nur Pakete durch; was dahinter liegt, ist die Exposition. Drei Dinge entscheiden darüber: der Socket, der auf der öffentlichen Seite lauscht, die Identität, die der Tunnel akzeptiert, und die Ziele, die diese Identität danach erreichen kann. Jedes braucht eine eigene Antwort, denn eine sorgfältige Wahl bei einem schränkt die anderen nicht ein.

Eine Portweiterleitung ist kein Dienst

Eine Router-Regel bewegt Pakete zu einem Host; sie benennt nicht den Prozess, der sie liest. Die Weiterleitungsseite und der lauschende Socket liegen an verschiedenen Orten, deshalb kann eine Regel auf eine Maschine zeigen, die den Dienst nicht mehr ausführt. Um herauszufinden, was tatsächlich antwortet, sehen Sie auf dem Host nach: ss -lntup listet jeden lauschenden Socket mit dem Prozess auf, dem er gehört. Ordnen Sie dann diesen Prozess einer Komponente, einer Version und einem Eigentümer zu.

Die Regel zu entfernen, von der Sie sich erinnern, sie angelegt zu haben, schließt die Tür nicht. Eine UPnP-Zuordnung kann sich selbst hinzugefügt haben, eine IPv6-Adresse kann erreichbar bleiben, nachdem der IPv4-Eintrag verschwunden ist, und eine zweite Veröffentlichungsmethode kann auf einer anderen Maschine existieren. Lesen Sie die UPnP-Zuordnungsliste des Routers sowie seine statischen Einträge und testen Sie dann von außerhalb des Netzwerks.

Eine Anmeldung ist keine LAN-Berechtigung

Der Tunnel entscheidet, wer sich verbinden darf; die Ressourcen entscheiden, was ein verbundener Client öffnen kann. NISTs Zero-Trust-Leitlinie trifft dieselbe Trennung im Netzwerkmaßstab: Eine Adresse beweist nichts über die Autorisierung. Geben Sie einem registrierten Laptop eine Aufgabe, etwa das Lesen einer Dateifreigabe auf einem benannten Host, und schreiben Sie dieses Paar auf. Eine Tunneladresse sollte keinen Administratorzugriff auf den Rest des Hauses erben.

Prüfen Sie auch die Pfade, die eine Zusammenfassung auslässt: Client-zu-Client-Verkehr, Bridge-Mitgliedschaft, Internetweiterleitung und Quellübersetzung. Jeder kann zwei Systeme verbinden, die Ihre schriftliche Aufgabe nie erwähnt. Schalten Sie die ab, die die Aufgabe nicht braucht, und listen Sie dann auf, was der Client noch erreichen kann.

Ein sauberer Scan beweist sehr wenig

Ein offener Port ist eine Tatsache über eine Adresse und ein Protokoll; eine erfolgreiche Anmeldung ist eine Tatsache über einen Zugangsdatensatz. Keines von beiden sagt, was als Nächstes passiert. Testen Sie den beabsichtigten Vorgang auf dem beabsichtigten Host, versuchen Sie dann eine Identität, die nie registriert wurde, einen Dienst, den niemand genehmigt hat, und die Verwaltungsschnittstelle, die privat bleiben sollte. Der letzte Test ist normalerweise der, der fehlschlägt.

Testen Sie beide Adressfamilien und jeden Pfad, den Sie veröffentlichen. Ein Scan der IPv4-Adresse sagt nichts über einen lauschenden IPv6-Dienst, und ein interner Test kann weder ein NAT-Loopback-Problem noch einen vorgelagerten Filter sehen. Führen Sie mindestens eine Prüfung von außen durch, über eine Verbindung, die nicht durch denselben Router zurückkommt.

Schreiben Sie die Exposition auf

Eine kurze Tabelle macht die Prüfung zu etwas, das die nächste Person auditieren kann. Füllen Sie sie von außen nach innen aus, eine Zeile pro erreichbarem Dienst, und bewahren Sie sie bei der Konfiguration auf, nicht in einem Chat-Thread. Wenn eine Zeile keinen Eigentümer hat, ist das ein Befund.

Zeilen, die nur “das VPN” sagen, sind noch keine Zeilen. Eine Zeile braucht den Socket, den Host, die Identität und das Ziel, denn genau das würde ein Auditor oder Angreifer testen.

Planen Sie die Außerbetriebnahme, bevor Sie sie brauchen

Ein Tunnel, den Sie nicht widerrufen können, ist eine dauerhafte Tür. Entscheiden Sie vorab, wie Sie Gerätezugangsdaten zurückziehen, eine laufende Sitzung beenden und den Zugriff wiederherstellen, nachdem ein Upgrade den Dienst beschädigt. Halten Sie einen Wiederherstellungsweg bereit, der nicht durch den Tunnel führt, denn der Tunnel ist das, was Sie reparieren werden. Bewahren Sie ihn dort auf, wo Sie ohne diese Maschine an ihn kommen.

Die Prüfung ist abgeschlossen, wenn das beabsichtigte Ziel funktioniert und die unerwünschten nicht. Sie ist keine Garantie, dass keine Schwachstelle existiert, und ein grünes Etikett eines Scanners ersetzt keines von beiden. Übergeben Sie die Tabelle und die Wiederherstellungsnotiz an denjenigen, der das Setup erbt.