Koduse VPN-i avaldamine: mida te tegelikult paljastate

Suunate tunnelile ühe pordi ja ütlete endale, et muudatus on piiratud. Praktikas laseb port läbi ainult pakette; selle taga olev on paljastus. Seda paljastust määravad kolm asja: avalikul poolel kuulav socket, identiteet, mille tunnel vastu võtab, ja sihtkohad, milleni see identiteet seejärel jõuda saab. Igaüks vajab oma vastust, sest ühes tehtud hoolikas valik ei piira teisi.

Pordi edastamine ei ole teenus

Ruuteri reegel liigutab pakette hosti poole; see ei nimeta protsessi, mis neid loeb. Edastusleht ja kuulav socket asuvad eri kohtades, mistõttu võib reegel osutada masinale, mis enam teenust ei käivita. Et teada saada, mis tegelikult vastab, vaadake hosti: ss -lntup loetleb iga kuulava socketi koos seda omava protsessiga. Seejärel sobitage see protsess komponendi, versiooni ja omanikuga.

Reegli eemaldamine, mille loomist mäletate, ei sulge ust. UPnP-vastendus võis end ise lisada, IPv6-aadress võib jääda kättesaadavaks pärast IPv4-kirje kadumist ja teine avaldamisviis võib eksisteerida teises masinas. Lugege ruuteri UPnP-vastenduste loendit ja ka selle staatilisi kirjeid, seejärel testige väljastpoolt võrku.

Sisselogimine ei ole LAN-i luba

Tunnel otsustab, kes tohib ühenduda; ressursid otsustavad, mida ühendatud klient avada saab. NISTi nullusalduse juhend teeb sama jaotuse võrgu mastaabis: aadress ei tõesta autoriseerimise kohta midagi. Andke ühele registreeritud sülearvutile üks ülesanne, näiteks nimetatud hostis failijagamise lugemine, ja kirjutage see paar üles. Tunneliaadress ei tohiks pärida administraatori juurdepääsu ülejäänud majale.

Uurige ka teid, mille kokkuvõte välja jätab: klient-klient-liiklus, silla liikmelisus, interneti edastamine ja allika tõlkimine. Igaüks võib ühendada kaks süsteemi, mida teie kirjalik ülesanne kunagi ei maini. Lülitage välja need, mida ülesanne ei vaja, seejärel loetlege, kuhu klient veel jõuda saab.

Puhas skannimine tõestab väga vähe

Avatud port on fakt ühe aadressi ja ühe protokolli kohta; edukas sisselogimine on fakt ühe mandaadi kohta. Kumbki ei ütle, mis juhtub edasi. Testige kavandatud toimingut kavandatud hostis, seejärel proovige identiteeti, mida kunagi ei registreeritud, teenust, mida keegi ei kinnitanud, ja haldusliidest, mis peaks jääma privaatseks. Viimane test on tavaliselt see, mis ebaõnnestub.

Testige mõlemat aadressiperekonda ja iga teed, mille avaldate. IPv4-aadressi skannimine ei ütle midagi kuulava IPv6-teenuse kohta ja sisemine test ei näe NAT-i tagasisilmuse probleemi ega ülesvoolu filtrit. Käivitage vähemalt üks kontroll väljastpoolt, ühendusel, mis ei tule tagasi sama ruuteri kaudu.

Kirjutage paljastus üles

Lühike tabel muudab ülevaatuse millekski, mida järgmine inimene saab auditeerida. Täitke see väljastpoolt sissepoole, üks rida iga kättesaadava teenuse kohta, ja hoidke seda konfiguratsiooni juures, mitte vestluslõimes. Kui real pole omanikku, on see leid.

Read, mis ütlevad ainult “VPN”, ei ole veel read. Real on vaja socketit, hosti, identiteeti ja sihtkohta, sest just seda testiks audiitor või ründaja.

Planeerige kasutusest kõrvaldamine enne, kui seda vajate

Tunnel, mida te ei saa tühistada, on alaline uks. Otsustage ette, kuidas seadme mandaat tagasi võtta, aktiivne seanss lõpetada ja juurdepääs taastada pärast seda, kui uuendus teenuse katki teeb. Hoidke taasteteed, mis ei kulge tunnelist, sest tunnel on see, mida te parandate. Hoidke seda kohas, kuhu pääsete ilma selle masinata.

Ülevaatus on lõpetatud, kui kavandatud sihtkoht töötab ja soovimatud ei tööta. See ei ole garantii, et haavatavust ei ole, ja skanneri roheline silt ei asenda kumbagi. Andke tabel ja taastekiri üle sellele, kes seadistuse pärib.