Publikigi hejman VPN: kion vi efektive elmetas

Vi plusendas unu pordon por la tunelo kaj diras al vi, ke la ŝanĝo estas limigita. Praktike la pordo nur enlasas pakaĵojn; tio, kio staras malantaŭ ĝi, estas la elmeto. Tri aferoj decidas tiun elmeton: la ingo aŭskultanta ĉe la publika flanko, la identeco, kiun la tunelo akceptas, kaj la celoj, kiujn tiu identeco poste povas atingi. Ĉiu bezonas sian propran respondon, ĉar zorga elekto en unu ne limigas la aliajn.

Plusendo de pordo ne estas servo

Regulo de enkursigilo movas pakaĵojn al gastiganto; ĝi ne nomas la procezon, kiu legas ilin. La plusenda paĝo kaj la aŭskultanta ingo loĝas en malsamaj lokoj, tial regulo povas montri al maŝino, kiu ne plu funkciigas la servon. Por ekscii, kio efektive respondas, rigardu la gastiganton: ss -lntup listigas ĉiun aŭskultantan ingon kun la procezo, kiu posedas ĝin. Poste parigu tiun procezon al komponanto, versio kaj posedanto.

Forigi la regulon, kiun vi memoras esti kreinta, ne fermas la pordon. UPnP-mapado eble aldonis sin, IPv6-adreso povas resti atingebla post kiam la IPv4-enskribo malaperis, kaj dua publikiga metodo povas ekzisti sur alia maŝino. Legu la UPnP-mapan liston de la enkursigilo kaj ankaŭ ĝiajn statikajn enskribojn, poste testu de ekster la reto.

Ensaluto ne estas LAN-permeso

La tunelo decidas, kiu rajtas konekti; la rimedoj decidas, kion konektita kliento povas malfermi. La gvidilo de NIST pri nula fido faras la saman dividon je reta skalo: adreso pruvas nenion pri rajtigo. Donu al unu registrita tekkomputilo unu taskon, ekzemple legi dosierkomunigon sur nomita gastiganto, kaj skribu tiun paron. Tunela adreso ne devus heredi administran aliron al la resto de la domo.

Ankaŭ inspektu la vojojn, kiujn resumo ellasas: kliento-al-kliento trafiko, ponta membreco, interreta plusendado kaj fonta tradukado. Ĉiu povas kunigi du sistemojn, kiujn via skribita tasko neniam mencias. Malŝaltu tiujn, kiujn la tasko ne bezonas, poste listigu, kion la kliento ankoraŭ povas atingi.

Pura skanado pruvas tre malmulte

Malfermita pordo estas fakto pri unu adreso kaj unu protokolo; sukcesa ensaluto estas fakto pri unu akreditaĵo. Neniuna diras, kio okazas poste. Testu la celitan operacion sur la celita gastiganto, poste provu identecon, kiu neniam estis registrita, servon, kiun neniu aprobis, kaj la administran interfacon, kiu devus resti privata. La lasta testo kutime estas tiu, kiu malsukcesas.

Testu ambaŭ adresfamiliojn kaj ĉiun vojon, kiun vi publikigas. Skanado de la IPv4-adreso diras nenion pri aŭskultanta IPv6-servo, kaj interna testo ne povas vidi NAT-retrokuplan problemon aŭ filtrilon pli supre. Rulu almenaŭ unu kontrolon de ekstere, sur konekto, kiu ne revenas tra la sama enkursigilo.

Skribu la elmeton

Mallonga tabelo igas la revizion io, kion la sekva persono povas aŭditi. Plenigu ĝin de ekstere enen, unu vico por ĉiu atingebla servo, kaj konservu ĝin kun la agordo, ne en babilfadeno. Se vico havas neniun posedanton, tio estas konstato.

Vicoj, kiuj diras nur “la VPN”, ankoraŭ ne estas vicoj. Vico bezonas la ingon, la gastiganton, la identecon kaj la celon, ĉar tion aŭditoro aŭ atakanto testus.

Planu la emeritiĝon antaŭ ol vi bezonos ĝin

Tunelo, kiun vi ne povas revoki, estas konstanta pordo. Decidu anticipe, kiel forigi akreditaĵon de aparato, fini vivan seancon kaj restarigi aliron post kiam ĝisdatigo rompos la servon. Tenu reakiran vojon, kiu ne iras tra la tunelo, ĉar la tunelo estas tio, kion vi riparos. Konservu ĝin tie, kie vi povas atingi ĝin sen tiu maŝino.

La revizio finiĝas, kiam la celita celo funkcias kaj la nedezirataj ne. Ĝi ne estas garantio, ke neniu vundebleco ekzistas, kaj verda etikedo de skanilo anstataŭas neniun el ambaŭ. Transdonu la tabelon kaj la reakiran noton al tiu, kiu heredos la aranĝon.