VPN خانگی برای دوستان: خروجی را به اشتراک بگذارید، نه LAN را
یک VPN مهمان فقط برای اینترنت و دسترسی به LAN دو محصول متفاوت‌اند. مرزهای خانه، میزبان و کلاینت را جدا کنید و ردها را هم آزمایش کنید.
اینکه بگویید یک دوست می‌تواند از طریق اتصال خانگی شما مرور کند با این یکی نیست که بگویید می‌تواند از شبکه خانگی شما استفاده کند، و فاصله میان این دو جمله شامل NAS، چاپگرها، صفحه مدیریت روتر و هر دستگاه دیگری در LAN است. هر ترتیبی قواعد ارسال خودش را می‌خواهد. بیشتر حوادث VPN اشتراکی که می‌شنوم حملات عجیب نیستند؛ بلکه مهمانی است که به چیزی رسیده چون هیچ‌کس ننوشته چه مرزی خریداری می‌شود. تصمیم بگیرید کدام قرارداد را ارائه می‌دهید، سپس آن را در سیاست ارسال و دسترسی بیان کنید، نه در یک پیام.
دو قراردادی که یکسان به نظر می‌رسند
فقط اینترنت یعنی ترافیک کلاینت دعوت‌شده از اتصال شما خارج می‌شود و چیزی بیشتر نه. دسترسی کامل یعنی همان کلاینت به شبکه محلی شما هم می‌پیوندد، و آن قرارداد دوم بی‌صدا اولی را در بر می‌گیرد، و این‌طور است که مردم به آن می‌لغزند. تفاوت به چند قاعده ارسال خلاصه می‌شود، و همچنین تفاوت میان به اشتراک گذاشتن پهنای باند و به اشتراک گذاشتن یک خانه است. قرارداد را قبل از دست زدن به دیوار آتش بنویسید، چون قاعده‌ای که بعداً اضافه می‌کنید توجیه‌کردنش آسان‌تر از حذف آن است.
قرارداد فقط اینترنت را انتخاب کنید مگر اینکه کسی واقعاً به سرویسی در LAN نیاز داشته باشد، چون قاعده‌ای که هرگز ننوشتید مجوزی است که هرگز ندادید. سپس بررسی کنید نرم‌افزار کلاینت کدام قرارداد را پیاده می‌کند، چون پیش‌فرض تونل کامل می‌تواند بی‌صدا گزینه گسترده‌تر را تحویل دهد.
مرز یک: شبکه خانه
ترافیک مهمان هیچ کاری در شبکه‌های خانه ندارد. یک زیرشبکه جداگانه VPN یا یک بخش میزبانی اختصاصی بیان آن سیاست را آسان‌تر می‌کند، اما نام متفاوت به خودی خود چیزی را اجرا نمی‌کند. دستگاهی را که واقعاً بسته‌ها را جابه‌جا می‌کند نام ببرید و قواعد عبور را همان‌جا نگه دارید، چون قاعده‌ای که روی ماشینی بدون ارسال نوشته شود تزئین است. وقتی VPN روی روتر اجرا می‌شود، آن نقطه اعمال زنجیره ارسال خود روتر است.
شبکه مهمان با جداسازی کلاینت‌ها جایگزین معقولی است، به شرطی که کلاینت‌های VPN واقعاً روی آن فرود بیایند. هر دو طرح به همان آزمون از سمت کلاینت نیاز دارند، نه از کنسول.
مرز دو: میزبان و مهمانان دیگر
کلاینت‌ها به سرویس VPN نیاز دارند و به هیچ چیز دیگری روی ماشینی که آن را اجرا می‌کند، بنابراین دسترسی مدیریت یک مجوز جداگانه می‌ماند. این همان چیزی است که بیشتر از همه تصادفی اعطا می‌شود، چون شنونده تونل و رابط مدیریت روی یک جعبه هستند. اگر VPN روی روتر پایان می‌یابد، پورت تونل و رابط وب یا SSH موضوع‌های متفاوتی هستند و قواعد متفاوتی می‌خواهند. قاعده‌ای که از صفحه ورود محافظت می‌کند هرگز نباید به‌عنوان ممنوعیت ارسال خوانده شود.
دسترسی به اینترنت هم مستلزم این نیست که به یک کلاینت دعوت‌شده اجازه دهید به دیگری برسد. استخرهای دسترسی از راه دور اغلب مانند یک بخش مشترک رفتار می‌کنند مگر اینکه خلاف آن را بگویید، پس تصمیم را در پیکربندی استخر صریح کنید. برای چند دوست، جداسازی پیش‌فرضی است که ارزش انتخاب دارد.
پیش از نوشتن قواعد، مسیرها را ترسیم کنید
یک دستگاه مستقل دو مجموعه بسته جداگانه برای نظارت دارد: آن‌هایی که روی آن پایان می‌یابند و آن‌هایی که به نمایندگی از یک کلاینت ارسال می‌کند. راهنمای شبکه CISA مسیرهای ورودی، خروجی و بین‌شبکه‌ای را دسترسی‌ای می‌داند که نیاز به توجیه دارد، و این چارچوب درست در اینجا است. پیشوندهای خانه را همان‌طور که هستند فهرست کنید، IPv4 و IPv6 هر دو، چون بلوکی که فقط IPv4 را می‌بندد خانه‌ای را که IPv6 هم مسیریابی می‌کند در همان مرز کاملاً باز می‌گذارد. سپس تصمیم بگیرید کلاینت‌ها چگونه DNS می‌گیرند و آیا استثنای مبدل فقط سرویس موردنظر را افشا می‌کند.
این‌ها الزامات هستند نه دستور یکسان، چون قواعد به این بستگی دارد که VPN کجا پایان می‌یابد و ترجمه کجا رخ می‌دهد. از افزودن یک مجوز گسترده فقط برای موفقیت اولین درخواست مرورگر خودداری کنید.
چه چیزی را بر عهده می‌گیرید و چگونه آزمایشش کنید
به اشتراک گذاشتن یک خروجی نقش عملیاتی می‌سازد. مردم را از طریق مدل هویت سرویس دعوت کنید، حذف را عملی کنید، میزبان و روتر را نگه‌داری کنید و تصمیم بگیرید سرویس چه مقدار از پهنای باند ارسال شما را می‌تواند استفاده کند. درخواست‌ها از نشانی شما خارج می‌شوند، پس شکایت‌ها و مشکلات اعتبار به در خانه شما می‌رسند حتی وقتی هیچ دستگاه خصوصی لمس نشده است. یک طرح جداسازی فنی درباره وضعیت قانونی چیزی نمی‌گوید، و محدود کردن ترافیک به پورت‌های وب رایج هر فعالیت مجاز را بی‌ضرر نمی‌کند.
سپس ردها را با یک کلاینت مجاز آزمایش کنید، نه از کنسول روتر. هر یک از این‌ها باید برقرار باشد:
- دسترسی به اینترنت از تونل مهمان کار می‌کند.
- NAS و چاپگرها بر اساس نشانی و بر اساس نام رد می‌شوند.
- مدیریت روتر از نشانی تونل رد می‌شود.
- کلاینت دعوت‌شده دوم در دسترس نیست.
- حذف مجوز کلاینت واقعاً دسترسی را پایان می‌دهد.
اگر مالک نمی‌تواند آن مرزها و وظایف عملیاتی را نگه دارد، تحویل یک فایل پیکربندی آنچه را که این ترتیب از او می‌خواهد کم‌اهمیت نشان می‌دهد. این توصیف صادقانه سرویس است و به پیامی تعلق دارد که همراه پیکربندی سفر می‌کند.