Kodu-VPN sõpradele: jaga väljapääsu, mitte LAN-i

Öelda, et sõber võib teie koduse ühenduse kaudu sirvida, pole sama, mis öelda, et ta võib teie koduvõrku kasutada, ja nende kahe lause vahe sisaldab NAS-i, printerid, ruuteri halduslehe ja kõiki teisi LAN-is olevaid seadmeid. Iga korraldus vajab oma edastusreegleid. Enamik jagatud VPN-i juhtumeid, millest kuulen, pole eksootilised rünnakud; see on külaline, kes jõudis millegini, sest keegi ei kirjutanud üles, millist piiri ostetakse. Otsustage, millist lepingut pakute, ja väljendage seda siis edastus- ja juurdepääsupoliitikas, mitte sõnumis.

Kaks lepingut, mis kõlavad ühtemoodi

Ainult internet tähendab, et kutsutud kliendi liiklus väljub teie ühenduse kaudu ega lähe kaugemale. Täisjuurdepääs tähendab, et sama klient liitub ka teie kohaliku võrguga, ja see teine leping sisaldab vaikselt esimest, ja nii inimesed sinna libisevadki. Erinevus taandub peotäiele edastusreeglile, ja see on ka erinevus ribalaiuse jagamise ja maja jagamise vahel. Kirjutage leping üles enne, kui tulemüüri puudutate, sest hiljem lisatud reeglit on lihtsam õigustada kui eemaldada.

Valige ainult interneti leping, kui kellelgi pole tõesti LAN-teenust vaja, sest reegel, mida te kunagi ei kirjutanud, on luba, mida te kunagi ei andnud. Seejärel kontrollige, millist lepingut klienditarkvara rakendab, sest täistunneli vaikeväärtus võib vaikselt anda laiema.

Piir esimene: koduvõrk

Külalisliiklusel pole koduvõrkudes üldse midagi teha. Eraldi VPN-alavõrk või sihtotstarbeline hostimissegment muudab selle poliitika väljendamise lihtsamaks, kuid teistsugune nimi ei jõusta iseenesest midagi. Nimetage seade, mis pakette tegelikult liigutab, ja hoidke üleminekureeglid seal, sest masinal, mis ei edasta, kirjutatud reegel on ainult ehe. Kui VPN töötab ruuteril, on see jõustamispunkt ruuteri enda edastusahel.

Kliendiisolatsiooniga külalisvõrk on mõistlik alternatiiv, eeldusel et VPN-kliendid sinna tegelikult maanduvad. Mõlemad lahendused vajavad sama katset kliendi poolt, mitte konsoolilt.

Piir teine: host ja teised külalised

Kliendid vajavad VPN-teenust ja mitte midagi muud masinal, mis seda käitab, seega jääb haldusjuurdepääs eraldi loaks. Just seda antakse kõige sagedamini kogemata, sest tunnelikuulaja ja haldusliides asuvad samas kastis. Kui VPN lõpeb ruuteril, on tunneliport ning veebi- või SSH-liides erinevad subjektid ja väärivad erinevaid reegleid. Sisselogimislehte kaitsvat reeglit ei tohiks kunagi lugeda edastamise keeluna.

Interneti-juurdepääs ei nõua ka seda, et üks kutsutud klient jõuaks teiseni. Kaugjuurdepääsupoolid käituvad sageli jagatud segmendina, kui te ei ütle teisiti, seega tehke otsus pooli konfiguratsioonis selgeks. Peotäie sõprade jaoks on isolatsioon vaikeväärtus, mida tasub valida.

Kaardistage teed enne reeglite kirjutamist

Iseseisval seadmel on kaks eraldi paketikogumit, mida valvata: need, mis lõpevad sellel, ja need, mida see kliendi nimel edastab. CISA võrgujuhised käsitlevad sissetulevaid, väljaminevaid ja võrkudevahelisi teid juurdepääsuna, mis vajab põhjendust, ja see on siin õige raamistik. Loetlege kodu prefiksid sellistena, nagu need tegelikult on, nii IPv4 kui IPv6, sest ainult IPv4 blokeerimine jätab kodu, mis suunab ka IPv6, samal piiril täiesti avatuks. Seejärel otsustage, kuidas kliendid DNS-i saavad ja kas mõni resolveri erand paljastab ainult kavandatud teenuse.

Need on nõuded, mitte universaalne retsept, sest reeglid sõltuvad sellest, kus VPN lõpeb ja kus toimub tõlkimine. Vältige laia loa lisamist ainult selleks, et esimene brauseri päring õnnestuks.

Mida te enda peale võtate ja kuidas seda testida

Väljapääsu jagamine loob operatiivse rolli. Kutsuge inimesi teenuse identiteedimudeli kaudu, muutke eemaldamine praktiliseks, hoidke host ja ruuter hooldatud ning otsustage, kui palju teie üleslaadimisest teenus kasutada tohib. Päringud väljuvad teie aadressilt, seega saabuvad kaebused ja maineprobleemid teie uksele isegi siis, kui ühtegi privaatset seadet ei puudutatud. Tehniline isolatsioonilahendus ei ütle juriidilise seisundi kohta midagi ning liikluse piiramine tavaliste veebiportidega ei muuda iga lubatud tegevust kahjutuks.

Seejärel testige keeldumisi volitatud kliendiga, mitte ruuteri konsoolilt. Kõik järgnev peab kehtima:

• Interneti-juurdepääs töötab külalise tunnelist.
• NAS ja printerid lükatakse tagasi aadressi ja nime järgi.
• Ruuteri haldus lükatakse tagasi tunneli aadressilt.
• Teine kutsutud klient pole kättesaadav.
• Kliendi volituse eemaldamine lõpetab juurdepääsu tegelikult.

Kui omanik ei suuda neid piire ja operatiivseid kohustusi hoida, alahindab konfiguratsioonifaili üleandmine seda, mida korraldus temalt nõuab. See on teenuse aus kirjeldus ja see kuulub sõnumisse, mis konfiguratsiooniga kaasas käib.