Etxeko VPNa lagunentzat: partekatu irteera, ez LANa

Lagun batek zure etxeko konexioaren bidez nabigatu dezakeela esatea ez da gauza bera bere etxeko sarea erabil dezakeela esatea baino, eta bi esaldi horien arteko hutsuneak NASa, inprimagailuak, routerraren administrazio-orria eta LANeko gainerako gailu guztiak biltzen ditu. Konponketa bakoitzak bere birbidaltze-arauak behar ditu. Entzuten ditudan VPN partekatuen gorabehera gehienak ez dira eraso exotikoak; gonbidatu bat zerbaitetara iritsi zena, inork ez zuelako idatzi zein muga erosten zen. Erabaki zein kontratu eskaintzen duzun, eta gero adierazi birbidaltze- eta sarbide-politikan, ez mezu batean.

Berdin entzuten duten bi kontratu

Internet soilak esan nahi du gonbidatutako bezeroaren trafikoa zure konexiotik ateratzen dela eta ez dela gehiago joaten. Sarbide osoak esan nahi du bezero berak zure tokiko sarera ere bat egiten duela, eta bigarren kontratu horrek isilka lehenengoa barne hartzen du, eta horrela jendea bertara irristatzen da. Aldea birbidaltze-arau gutxi batzuetara murrizten da, eta banda-zabalera partekatzearen eta etxe bat partekatzearen arteko aldea ere bada. Idatzi kontratua suebakia ukitu aurretik, geroago gehitzen duzun araua errazago justifikatzen delako kentzen baino.

Aukeratu internet-soileko kontratua, norbaitek benetan LANeko zerbitzu bat behar ez badu, inoiz idatzi ez zenuen araua inoiz eman ez zenuen baimena delako. Gero egiaztatu zein kontratu ezartzen duen bezeroaren softwareak, tunel osoko balio lehenetsiak isilka zabalena eman baitezake.

Lehen muga: etxeko sarea

Gonbidatuen trafikoak ez du ezer egiteko etxeko sareetan. VPN azpisare bereizi batek edo ostalaritza-segmentu dedikatu batek politika hori adieraztea errazten dute, baina izen desberdinak berak ez du ezer betearazten. Izendatu paketeak benetan mugitzen dituen gailua eta eduki zeharkatze-arauak han, birbidaltzen ez duen makinan idatzitako araua apaingarria baita. VPNak routerrean funtzionatzen duenean, betearazte-puntu hori routerraren beraren birbidaltze-katea da.

Bezero-isolamendua duen gonbidatu-sarea alternatiba zentzuzkoa da, VPN bezeroak benetan bertara iristen badira. Bi diseinuek proba bera behar dute bezero batetik, ez kontsolatik.

Bigarren muga: ostalaria eta beste gonbidatuak

Bezoek VPN zerbitzua behar dute eta ez beste ezer hura exekutatzen duen makinan, beraz kudeaketa-sarbidea baimen bereizi izaten jarraitzen du. Hori da istripuz ematen dena gehienetan, tunel-entzulea eta administrazio-interfazea kaxa berean daudelako. VPNak routerrean amaitzen badu, tunel-ataka eta web edo SSH interfazea subjektu desberdinak dira eta arau desberdinak merezi dituzte. Saio-hasiera orria babesten duen araua ez litzateke inoiz birbidaltzeko debeku gisa irakurri behar.

Interneteko sarbideak ere ez du eskatzen gonbidatutako bezero batek bestera iristea baimentzea. Urruneko sarbide-poolak sarritan segmentu partekatu gisa jokatzen dute, besterik esaten ez baduzu, beraz egin erabakia esplizitu poolaren konfigurazioan. Lagun gutxi batzuentzat, isolamendua da aukeratzeko merezi duen balio lehenetsia.

Kartografiatu bideak arauak idatzi aurretik

Gailu autonomo batek bi pakete-multzo bereizi ditu zaintzeko: beraren gainean amaitzen direnak eta bezero baten izenean birbidaltzen dituenak. CISAren sare-jarraibideak sarrerako, irteerako eta sare arteko bideak justifikazioa behar duen sarbidetzat hartzen dituzte, eta hori da hemen esparru egokia. Zerrendatu etxeko aurrizkiak diren bezala, IPv4 eta IPv6 biak, IPv4 soilik blokeatzen duenak IPv6 ere bideratzen duen etxea erabat irekita uzten baitu muga berean. Gero erabaki bezoek nola lortzen duten DNS eta resolveren salbuespen batek zerbitzu aurreikusia soilik erakusten duen.

Baldintzak dira, ez errezeta unibertsala, arauak VPNak non amaitzen duen eta itzulpena non gertatzen den arabera daudelako. Saihestu baimen zabal bat gehitzea lehen nabigatzaile-eskaera arrakastatsua izan dadin soilik.

Zer hartzen duzun zure gain eta nola probatu

Irteera bat partekatzeak eragiketa-rola sortzen du. Gonbidatu jendea zerbitzuaren identitate-ereduaren bidez, egin kentzea praktikoa, mantendu ostalaria eta routerra eta erabaki zerbitzuak zure igoeraren zenbat erabil dezakeen. Eskaerak zure helbidetik irteten dira, beraz kexak eta ospe-arazoak zure atarira iristen dira gailu pribaturik ukitu ez bada ere. Isolamendu-diseinu teknikoak ez du ezer esaten lege-egoeraz, eta trafikoa web ataka arruntetara mugatzeak ez du baimendutako jarduera oro kaltegabetzen.

Gero probatu uko-egiteak baimendutako bezero batekin, ez routerraren kontsolatik. Honako hauek guztiak bete behar dute:

• Interneteko sarbidea gonbidatu-tuneletik funtzionatzen du.
• NASa eta inprimagailuak ukatu egiten dira helbidearen eta izenaren arabera.
• Routerraren administrazioa ukatu egiten da tunelaren helbidetik.
• Bigarren gonbidatu bat ez da irisgarria.
• Bezeroaren baimena kentzeak sarbidea benetan amaitzen du.

Jabeak muga horiek eta eragiketa-eginbeharrak mantendu ezin baditu, konfigurazio-fitxategi bat emateak gutxiesten du konponketak berari eskatzen diona. Hori da zerbitzuaren deskribapen zintzoa, eta konfigurazioarekin bidaiatzen duen mezuan dagokio.