Δημοσίευση οικιακού VPN: τι εκθέτετε πραγματικά

Προωθείτε μία θύρα για τη σήραγγα και λέτε στον εαυτό σας ότι η αλλαγή είναι περιορισμένη. Στην πράξη η θύρα μόνο δέχεται πακέτα· αυτό που βρίσκεται πίσω της είναι η έκθεση. Τρία πράγματα καθορίζουν αυτή την έκθεση: το socket που ακούει στη δημόσια πλευρά, η ταυτότητα που δέχεται η σήραγγα και οι προορισμοί που μπορεί να προσεγγίσει αυτή η ταυτότητα. Καθένα χρειάζεται τη δική του απάντηση, γιατί μια προσεκτική επιλογή στο ένα δεν περιορίζει τα άλλα.

Η προώθηση θύρας δεν είναι υπηρεσία

Ένας κανόνας δρομολογητή μετακινεί πακέτα προς έναν κεντρικό υπολογιστή· δεν ονομάζει τη διεργασία που τα διαβάζει. Η σελίδα προώθησης και το socket που ακούει ζουν σε διαφορετικά σημεία, γι' αυτό ένας κανόνας μπορεί να δείχνει σε μηχάνημα που δεν εκτελεί πλέον την υπηρεσία. Για να μάθετε τι πραγματικά απαντά, κοιτάξτε στον κεντρικό υπολογιστή: το ss -lntup απαριθμεί κάθε socket που ακούει μαζί με τη διεργασία που το κατέχει. Στη συνέχεια αντιστοιχίστε αυτή τη διεργασία με ένα στοιχείο, μια έκδοση και έναν ιδιοκτήτη.

Η αφαίρεση του κανόνα που θυμάστε ότι δημιουργήσατε δεν κλείνει την πόρτα. Μια αντιστοίχιση UPnP μπορεί να προστέθηκε μόνη της, μια διεύθυνση IPv6 μπορεί να παραμείνει προσβάσιμη αφού εξαφανιστεί η καταχώριση IPv4, και μια δεύτερη μέθοδος δημοσίευσης μπορεί να υπάρχει σε άλλο μηχάνημα. Διαβάστε τη λίστα αντιστοιχίσεων UPnP του δρομολογητή καθώς και τις στατικές καταχωρίσεις του και μετά δοκιμάστε από έξω από το δίκτυο.

Η σύνδεση δεν είναι άδεια LAN

Η σήραγγα αποφασίζει ποιος μπορεί να συνδεθεί· οι πόροι αποφασίζουν τι μπορεί να ανοίξει ένας συνδεδεμένος πελάτης. Η καθοδήγηση μηδενικής εμπιστοσύνης του NIST κάνει τον ίδιο διαχωρισμό σε κλίμακα δικτύου: μια διεύθυνση δεν αποδεικνύει τίποτα για την εξουσιοδότηση. Δώστε σε έναν εγγεγραμμένο φορητό υπολογιστή μία εργασία, όπως η ανάγνωση ενός κοινόχρηστου φακέλου σε έναν ονομασμένο κεντρικό υπολογιστή, και γράψτε αυτό το ζεύγος. Μια διεύθυνση σήραγγας δεν πρέπει να κληρονομεί πρόσβαση διαχειριστή στο υπόλοιπο σπίτι.

Ελέγξτε επίσης τις διαδρομές που παραλείπει μια σύνοψη: κίνηση πελάτη-προς-πελάτη, συμμετοχή σε γέφυρα, προώθηση στο διαδίκτυο και μετάφραση πηγής. Κάθε μία μπορεί να ενώσει δύο συστήματα που η γραπτή εργασία σας δεν αναφέρει ποτέ. Απενεργοποιήστε όσες δεν χρειάζεται η εργασία και μετά καταγράψτε τι μπορεί ακόμη να προσεγγίσει ο πελάτης.

Μια καθαρή σάρωση αποδεικνύει ελάχιστα

Μια ανοιχτή θύρα είναι γεγονός για μία διεύθυνση και ένα πρωτόκολλο· μια επιτυχημένη σύνδεση είναι γεγονός για ένα διαπιστευτήριο. Κανένα δεν λέει τι συμβαίνει μετά. Δοκιμάστε τη σκοπούμενη λειτουργία στον σκοπούμενο κεντρικό υπολογιστή, μετά δοκιμάστε μια ταυτότητα που δεν εγγράφηκε ποτέ, μια υπηρεσία που δεν ενέκρινε κανείς και τη διεπαφή διαχείρισης που πρέπει να παραμείνει ιδιωτική. Η τελευταία δοκιμή είναι συνήθως αυτή που αποτυγχάνει.

Δοκιμάστε και τις δύο οικογένειες διευθύνσεων και κάθε διαδρομή που δημοσιεύετε. Μια σάρωση της διεύθυνσης IPv4 δεν λέει τίποτα για μια υπηρεσία IPv6 που ακούει, και μια εσωτερική δοκιμή δεν μπορεί να δει πρόβλημα βρόχου NAT ή φίλτρο ανάντη. Εκτελέστε τουλάχιστον έναν έλεγχο από έξω, σε σύνδεση που δεν επιστρέφει από τον ίδιο δρομολογητή.

Καταγράψτε την έκθεση

Ένας σύντομος πίνακας μετατρέπει την αναθεώρηση σε κάτι που μπορεί να ελέγξει ο επόμενος. Συμπληρώστε τον από έξω προς τα μέσα, μία γραμμή ανά προσβάσιμη υπηρεσία, και κρατήστε τον μαζί με τη διαμόρφωση, όχι σε νήμα συνομιλίας. Αν μια γραμμή δεν έχει ιδιοκτήτη, αυτό είναι εύρημα.

Οι γραμμές που λένε μόνο “το VPN” δεν είναι ακόμη γραμμές. Μια γραμμή χρειάζεται το socket, τον κεντρικό υπολογιστή, την ταυτότητα και τον προορισμό, γιατί αυτό θα δοκίμαζε ένας ελεγκτής ή ένας επιτιθέμενος.

Σχεδιάστε την απόσυρση πριν τη χρειαστείτε

Μια σήραγγα που δεν μπορείτε να ανακαλέσετε είναι μόνιμη πόρτα. Αποφασίστε εκ των προτέρων πώς θα αποσύρετε ένα διαπιστευτήριο συσκευής, θα τερματίσετε μια ζωντανή συνεδρία και θα επαναφέρετε την πρόσβαση αφού μια αναβάθμιση σπάσει την υπηρεσία. Κρατήστε μια διαδρομή ανάκτησης που δεν περνά από τη σήραγγα, γιατί η σήραγγα είναι αυτό που θα επισκευάσετε. Αποθηκεύστε την εκεί που μπορείτε να φτάσετε χωρίς αυτό το μηχάνημα.

Η αναθεώρηση ολοκληρώνεται όταν ο σκοπούμενος προορισμός λειτουργεί και οι ανεπιθύμητοι όχι. Δεν είναι εγγύηση ότι δεν υπάρχει ευπάθεια, και μια πράσινη ετικέτα σαρωτή δεν αντικαθιστά κανένα από τα δύο. Παραδώστε τον πίνακα και τη σημείωση ανάκτησης σε όποιον κληρονομήσει τη ρύθμιση.