Οικιακό VPN για φίλους: μοιραστείτε την έξοδο, όχι το LAN

Το να πεις ότι ένας φίλος μπορεί να περιηγηθεί μέσω της οικιακής σύνδεσης δεν είναι το ίδιο με το να πεις ότι μπορεί να χρησιμοποιήσει το οικιακό δίκτυο, και το κενό ανάμεσα σε αυτές τις δύο προτάσεις περιέχει το NAS, τους εκτυπωτές, τη σελίδα διαχείρισης του δρομολογητή και κάθε άλλη συσκευή στο LAN. Κάθε ρύθμιση χρειάζεται τους δικούς της κανόνες προώθησης. Τα περισσότερα περιστατικά κοινόχρηστου VPN που ακούω δεν είναι εξωτικά επιθέματα· είναι ένας φιλοξενούμενος που έφτασε κάπου επειδή κανείς δεν έγραψε ποιο όριο αγοράζεται. Αποφασίστε ποιο συμβόλαιο προσφέρετε και μετά εκφράστε το σε πολιτική προώθησης και πρόσβασης, όχι σε μήνυμα.

Δύο συμβόλαια που ακούγονται ίδια

Μόνο διαδίκτυο σημαίνει ότι η κίνηση του καλεσμένου πελάτη φεύγει μέσω της σύνδεσής σας και τίποτε παραπέρα. Πλήρης πρόσβαση σημαίνει ότι ο ίδιος πελάτης μπαίνει και στο τοπικό σας δίκτυο, και αυτό το δεύτερο συμβόλαιο περιλαμβάνει σιωπηρά το πρώτο, και έτσι ο κόσμος γλιστράει σε αυτό. Η διαφορά καταλήγει σε μια χούφτα κανόνες προώθησης, και είναι επίσης η διαφορά ανάμεσα στο να μοιράζεσαι εύρος ζώνης και να μοιράζεσαι σπίτι. Γράψτε το συμβόλαιο πριν αγγίξετε το τείχος προστασίας, γιατί ένας κανόνας που προσθέτετε αργότερα δικαιολογείται πιο εύκολα παρά αφαιρείται.

Επιλέξτε το συμβόλαιο μόνο διαδικτύου, εκτός αν κάποιος χρειάζεται πραγματικά υπηρεσία στο LAN, γιατί ένας κανόνας που δεν γράψατε ποτέ είναι άδεια που δεν δώσατε ποτέ. Μετά ελέγξτε ποιο συμβόλαιο υλοποιεί το λογισμικό πελάτη, γιατί μια προεπιλογή πλήρους σήραγγας μπορεί να παραδώσει σιωπηρά το ευρύτερο.

Όριο πρώτο: το οικιακό δίκτυο

Η κίνηση φιλοξενούμενων δεν έχει καμία δουλειά στα οικιακά δίκτυα. Ένα ξεχωριστό υποδίκτυο VPN ή ένα αποκλειστικό τμήμα φιλοξενίας κάνει αυτή την πολιτική ευκολότερη να εκφραστεί, αλλά το διαφορετικό όνομα δεν επιβάλλει τίποτα από μόνο του. Ονομάστε τη συσκευή που πραγματικά μετακινεί τα πακέτα και κρατήστε εκεί τους κανόνες διέλευσης, γιατί ένας κανόνας γραμμένος σε μηχάνημα που δεν προωθεί είναι διακόσμηση. Όταν το VPN εκτελείται στον δρομολογητή, αυτό το σημείο επιβολής είναι η δική του αλυσίδα προώθησης.

Ένα δίκτυο φιλοξενούμενων με απομόνωση πελατών είναι μια λογική εναλλακτική, με την προϋπόθεση ότι οι πελάτες VPN προσγειώνονται πραγματικά σε αυτό. Και τα δύο σχέδια χρειάζονται την ίδια δοκιμή από πελάτη και όχι από την κονσόλα.

Όριο δεύτερο: ο κεντρικός υπολογιστής και οι άλλοι φιλοξενούμενοι

Οι πελάτες χρειάζονται την υπηρεσία VPN και τίποτε άλλο στο μηχάνημα που τη φιλοξενεί, οπότε η πρόσβαση διαχείρισης παραμένει ξεχωριστή άδεια. Είναι αυτή που χορηγείται συχνότερα κατά λάθος, επειδή ο ακροατής της σήραγγας και η διεπαφή διαχείρισης βρίσκονται στο ίδιο κουτί. Αν το VPN τερματίζει στον δρομολογητή, η θύρα της σήραγγας και η διεπαφή ιστού ή SSH είναι διαφορετικά υποκείμενα και αξίζουν διαφορετικούς κανόνες. Ένας κανόνας που προστατεύει σελίδα σύνδεσης δεν πρέπει ποτέ να διαβάζεται ως απαγόρευση προώθησης.

Η πρόσβαση στο διαδίκτυο επίσης δεν απαιτεί να επιτρέπεται σε έναν καλεσμένο πελάτη να φτάνει έναν άλλο. Οι ομάδες απομακρυσμένης πρόσβασης συχνά συμπεριφέρονται σαν κοινόχρηστο τμήμα αν δεν ορίσετε διαφορετικά, οπότε κάντε την απόφαση ρητή στη διαμόρφωση της ομάδας. Για μια χούφτα φίλους, η απομόνωση είναι η προεπιλογή που αξίζει να επιλέξετε.

Χαρτογραφήστε τις διαδρομές πριν γράψετε κανόνες

Μια αυτόνομη συσκευή έχει δύο ξεχωριστά σύνολα πακέτων για αστυνόμευση: αυτά που τερματίζουν σε αυτήν και αυτά που προωθεί για λογαριασμό πελάτη. Οι κατευθυντήριες γραμμές δικτύου της CISA αντιμετωπίζουν τις εισερχόμενες, εξερχόμενες και διαδικτυακές διαδρομές ως πρόσβαση που χρειάζεται αιτιολόγηση, και αυτό είναι το σωστό πλαίσιο εδώ. Καταγράψτε τα προθέματα του σπιτιού όπως πραγματικά είναι, IPv4 και IPv6 και τα δύο, γιατί ένα μπλοκ μόνο IPv4 αφήνει ένα σπίτι που δρομολογεί και IPv6 εντελώς ανοιχτό στο ίδιο όριο. Μετά αποφασίστε πώς παίρνουν DNS οι πελάτες και αν κάποια εξαίρεση διαλυτή εκθέτει μόνο την προβλεπόμενη υπηρεσία.

Αυτές είναι απαιτήσεις και όχι καθολική συνταγή, γιατί οι κανόνες εξαρτώνται από το πού τερματίζει το VPN και πού γίνεται η μετάφραση. Αποφύγετε να προσθέσετε μια ευρεία άδεια μόνο για να πετύχει το πρώτο αίτημα του προγράμματος περιήγησης.

Τι αναλαμβάνετε και πώς να το δοκιμάσετε

Το να μοιράζεστε μια έξοδο δημιουργεί έναν επιχειρησιακό ρόλο. Καλέστε κόσμο μέσω του μοντέλου ταυτότητας της υπηρεσίας, κάντε την αφαίρεση πρακτική, διατηρήστε τον κεντρικό υπολογιστή και τον δρομολογητή και αποφασίστε πόσο από το upload σας μπορεί να χρησιμοποιεί η υπηρεσία. Τα αιτήματα φεύγουν από τη διεύθυνσή σας, οπότε παράπονα και προβλήματα φήμης φτάνουν στην πόρτα σας ακόμη και όταν δεν αγγίχτηκε καμία ιδιωτική συσκευή. Ένας τεχνικός σχεδιασμός απομόνωσης δεν λέει τίποτα για τη νομική θέση, και ο περιορισμός της κίνησης σε κοινές θύρες ιστού δεν κάνει κάθε επιτρεπόμενη δραστηριότητα ακίνδυνη.

Μετά δοκιμάστε τις αρνήσεις με εξουσιοδοτημένο πελάτη και όχι από την κονσόλα του δρομολογητή. Καθένα από τα παρακάτω πρέπει να ισχύει:

• Η πρόσβαση στο διαδίκτυο λειτουργεί από τη σήραγγα φιλοξενούμενου.
• Το NAS και οι εκτυπωτές απορρίπτονται κατά διεύθυνση και κατά όνομα.
• Η διαχείριση του δρομολογητή απορρίπτεται από τη διεύθυνση της σήραγγας.
• Ένας δεύτερος καλεσμένος πελάτης δεν είναι προσβάσιμος.
• Η αφαίρεση της εξουσιοδότησης του πελάτη τερματίζει πραγματικά την πρόσβαση.

Αν ο ιδιοκτήτης δεν μπορεί να διατηρήσει αυτά τα όρια και τα επιχειρησιακά καθήκοντα, η παράδοση ενός αρχείου διαμόρφωσης υποτιμά τι ζητά από αυτόν η ρύθμιση. Αυτή είναι η ειλικρινής περιγραφή της υπηρεσίας, και ανήκει στο μήνυμα που ταξιδεύει με τη διαμόρφωση.