Hejma VPN por amikoj: kunhavigu la eliron, ne la LAN-on

Diri, ke amiko povas retumi per via hejma konekto, ne samas kiel diri, ke li povas uzi vian hejman reton, kaj la interspaco inter tiuj du frazoj enhavas la NAS-on, la printilojn, la administran paĝon de la enkursigilo kaj ĉiun alian aparaton en la LAN. Ĉiu aranĝo bezonas siajn proprajn plusendajn regulojn. La plej multaj incidentoj de kunhavigita VPN, pri kiuj mi aŭdas, ne estas ekzotaj atakoj; temas pri gasto, kiu atingis ion, ĉar neniu skribis, kiu limo estas aĉetata. Decidu, kiun kontrakton vi proponas, kaj poste esprimu ĝin en plusenda kaj alira politiko, ne en mesaĝo.

Du kontraktoj, kiuj sonas same

Nur interreto signifas, ke la trafiko de la invitita kliento eliras tra via konekto kaj nenio plu. Plena aliro signifas, ke la sama kliento ankaŭ aliĝas al via loka reto, kaj tiu dua kontrakto silente inkluzivas la unuan, kaj tiel homoj glitas en ĝin. La diferenco reduktiĝas al manpleno da plusendaj reguloj, kaj ĝi ankaŭ estas la diferenco inter kunhavigi bendolarĝon kaj kunhavigi domon. Skribu la kontrakton antaŭ ol tuŝi la fajroŝirmilon, ĉar regulon, kiun vi aldonas poste, pli facile pravigeblas ol forigeblas.

Elektu la kontrakton nur-interretan, krom se iu vere bezonas LAN-servon, ĉar regulo, kiun vi neniam skribis, estas permeso, kiun vi neniam donis. Poste kontrolu, kiun kontrakton la klienta programaro efektivigas, ĉar plentunela defaŭlto povas silente liveri la pli vastan.

Limo unu: la hejma reto

Gasta trafiko tute ne apartenas al la hejmaj retoj. Aparta VPN-subreto aŭ dediĉita gastiga segmento faciligas esprimi tiun politikon, sed la malsama nomo mem efektivigas nenion. Nomu la aparaton, kiu efektive movas la pakaĵojn, kaj tenu la trapasajn regulojn tie, ĉar regulo skribita sur maŝino, kiu ne plusendas, estas ornamo. Kiam la VPN funkcias sur la enkursigilo, tiu deviga punkto estas la propra plusenda ĉeno de la enkursigilo.

Gasta reto kun klienta izolado estas racia alternativo, kondiĉe ke la VPN-klientoj efektive surteriĝas sur ĝi. Ambaŭ dizajnoj bezonas la saman teston de kliento, ne de la konzolo.

Limo du: la gastiganto kaj la aliaj gastoj

Klientoj bezonas la VPN-servon kaj nenion alian sur la maŝino, kiu ĝin rulas, do administra aliro restas aparta permeso. Ĝi estas tiu, kiu plej ofte doniĝas hazarde, ĉar la tunela aŭskultanto kaj la administra interfaco sidas sur la sama skatolo. Se la VPN finiĝas sur la enkursigilo, la tunela pordo kaj la reteja aŭ SSH-interfaco estas malsamaj subjektoj kaj meritigas malsamajn regulojn. Regulo, kiu protektas ensalutan paĝon, neniam devus esti legata kiel malpermeso de plusendado.

Ankaŭ interreta aliro ne postulas lasi unu invititan klienton atingi alian. Foraj alirpuloj ofte kondutas kiel kunhavigita segmento, se vi ne diras alie, do faru la decidon eksplicita en la pula agordo. Por manpleno da amikoj, izolado estas la defaŭlto inda je elekto.

Mapu la vojojn antaŭ ol skribi regulojn

Memstara aparato havas du apartajn pakaĵarojn por kontroli: tiujn, kiuj finiĝas sur ĝi, kaj tiujn, kiujn ĝi plusendas nome de kliento. La retaj gvidlinioj de CISA traktas envenantajn, elirantajn kaj interretajn vojojn kiel aliron, kiu bezonas pravigon, kio estas la ĝusta kadro ĉi tie. Listigu la hejmajn prefiksojn tiaj, kiaj ili vere estas, IPv4 kaj IPv6 ambaŭ, ĉar bloko nur por IPv4 lasas domanaron, kiu ankaŭ enkursigas IPv6, tute malfermita ĉe la sama limo. Poste decidu, kiel klientoj ricevas DNS kaj ĉu iu solvila escepto elmontras nur la celatan servon.

Tiuj estas postuloj, ne universala recepto, ĉar la reguloj dependas de tio, kie la VPN finiĝas kaj kie okazas tradukado. Evitu aldoni larĝan permeson nur por ke la unua retuma peto sukcesu.

Kion vi prenas sur vin, kaj kiel testi ĝin

Kunhavigi eliron kreas operacian rolon. Invitu homojn per la identeca modelo de la servo, faru forigon praktika, tenu la gastiganton kaj la enkursigilon bontenataj, kaj decidu, kiom de via alŝuto la servo rajtas uzi. Petoj eliras de via adreso, do plendoj kaj reputaciaj problemoj alvenas ĉe via pordo eĉ kiam neniu privata aparato estis tuŝita. Teknika izola dizajno diras nenion pri la laŭleĝa pozicio, kaj limigi trafikon al ordinaraj retaj pordoj ne igas ĉiun permesitan agadon sendanĝera.

Poste testu la rifuzojn per rajtigita kliento, ne de la enkursigila konzolo. Ĉiu el la jenaj devas validi:

• Interreta aliro funkcias de la gasta tunelo.
• NAS kaj printiloj estas rifuzataj laŭ adreso kaj laŭ nomo.
• Enkursigila administrado estas rifuzata de la tunela adreso.
• Dua invitita kliento estas neatingebla.
• Forigi la rajtigon de la kliento efektive finas aliron.

Se la posedanto ne povas teni tiujn limojn kaj la operaciajn devojn, transdoni agordan dosieron subtaksas, kion la aranĝo postulas de li. Tio estas la honesta priskribo de la servo, kaj ĝi apartenas al la mesaĝo, kiu vojaĝas kun la agordo.