VPN doméstica para amigos: comparte la salida, no la LAN

Decir que un amigo puede navegar por tu conexión doméstica no es lo mismo que decir que puede usar tu red doméstica, y el hueco entre esas dos frases contiene el NAS, las impresoras, la página de administración del router y todos los demás dispositivos de la LAN. Cada arreglo necesita sus propias reglas de reenvío. La mayoría de los incidentes de VPN compartida de los que oigo hablar no son ataques exóticos; son un invitado que llegó a algo porque nadie anotó qué límite se estaba comprando. Decide qué contrato ofreces y luego exprésalo en la política de reenvío y acceso, no en un mensaje.

Dos contratos que suenan igual

Solo internet significa que el tráfico del cliente invitado sale por tu conexión y nada más. Acceso completo significa que ese mismo cliente también se une a tu red local, y ese segundo contrato incluye en silencio el primero, y así es como la gente cae en él. La diferencia se reduce a un puñado de reglas de reenvío, y también es la diferencia entre compartir ancho de banda y compartir una casa. Escribe el contrato antes de tocar el cortafuegos, porque una regla que añades después es más fácil de justificar que de quitar.

Elige el contrato solo de internet a menos que alguien necesite de verdad un servicio en la LAN, porque una regla que nunca escribiste es un permiso que nunca concediste. Luego comprueba qué contrato implementa el software del cliente, porque un valor predeterminado de túnel completo puede entregar en silencio el más amplio.

Límite uno: la red del hogar

El tráfico de invitados no tiene nada que hacer en las redes del hogar. Una subred VPN separada o un segmento de alojamiento dedicado hacen que esa política sea más fácil de expresar, pero el nombre distinto no impone nada por sí solo. Nombra el dispositivo que realmente mueve los paquetes y mantén allí las reglas de cruce, porque una regla escrita en una máquina que no reenvía es decoración. Cuando la VPN se ejecuta en el router, ese punto de aplicación es la propia cadena de reenvío del router.

Una red de invitados con aislamiento de clientes es una alternativa razonable, siempre que los clientes de la VPN aterricen realmente en ella. Ambos diseños necesitan la misma prueba desde un cliente y no desde la consola.

Límite dos: el anfitrión y los demás invitados

Los clientes necesitan el servicio VPN y nada más en la máquina que lo ejecuta, así que el acceso de gestión sigue siendo un permiso aparte. Es el que más a menudo se concede por accidente, porque el escucha del túnel y la interfaz de administración están en la misma caja. Si la VPN termina en el router, el puerto del túnel y la interfaz web o SSH son sujetos distintos y merecen reglas distintas. Una regla que protege una página de inicio de sesión nunca debe leerse como una prohibición de reenviar.

El acceso a internet tampoco exige permitir que un cliente invitado llegue a otro. Los grupos de acceso remoto suelen comportarse como un segmento compartido si no dices lo contrario, así que haz explícita la decisión en la configuración del grupo. Para un puñado de amigos, el aislamiento es el valor predeterminado que vale la pena elegir.

Traza las rutas antes de escribir reglas

Un dispositivo autónomo tiene dos conjuntos separados de paquetes que vigilar: los que terminan en él y los que retransmite en nombre de un cliente. Las directrices de red de CISA tratan las rutas de entrada, de salida y entre redes como acceso que necesita justificación, que es el marco correcto aquí. Enumera los prefijos del hogar tal como son, IPv4 e IPv6 ambos, porque un bloque solo de IPv4 deja un hogar que también enruta IPv6 completamente abierto en el mismo límite. Luego decide cómo obtienen DNS los clientes y si alguna excepción del resolutor expone solo el servicio previsto.

Son requisitos y no una receta universal, porque las reglas dependen de dónde termina la VPN y dónde ocurre la traducción. Evita añadir un permiso amplio solo para que la primera petición del navegador tenga éxito.

Qué asumes y cómo probarlo

Compartir una salida crea un rol operativo. Invita a la gente a través del modelo de identidad del servicio, haz práctica la retirada, mantén el anfitrión y el router y decide cuánto de tu subida puede usar el servicio. Las peticiones salen de tu dirección, así que las quejas y los problemas de reputación llegan a tu puerta aunque no se haya tocado ningún dispositivo privado. Un diseño técnico de aislamiento no dice nada sobre la posición legal, y restringir el tráfico a puertos web habituales no hace inofensiva toda actividad permitida.

Luego prueba las denegaciones con un cliente autorizado y no desde la consola del router. Cada una de estas debe cumplirse:

• El acceso a internet funciona desde el túnel de invitado.
• El NAS y las impresoras se rechazan por dirección y por nombre.
• La administración del router se rechaza desde la dirección del túnel.
• Un segundo cliente invitado no es accesible.
• Quitar la autorización del cliente termina realmente con el acceso.

Si el propietario no puede mantener esos límites y las tareas operativas, entregar un archivo de configuración subestima lo que el arreglo le pide. Esa es la descripción honesta del servicio, y pertenece al mensaje que viaja con la configuración.