انتشار یک VPN خانگی: آنچه واقعاً در معرض دید قرار می‌دهید

یک درگاه را برای تونل هدایت می‌کنید و به خودتان می‌گویید تغییر محدود است. در عمل درگاه فقط بسته‌ها را می‌پذیرد؛ آنچه پشت آن است همان در معرض دید قرار گرفتن است. سه چیز این مواجهه را تعیین می‌کند: سوکتی که در سمت عمومی گوش می‌دهد، هویتی که تونل می‌پذیرد، و مقصدهایی که آن هویت سپس می‌تواند لمس کند. هر یک پاسخ خودش را می‌خواهد، زیرا انتخاب دقیق در یکی دیگری را محدود نمی‌کند.

هدایت درگاه یک سرویس نیست

قانون روتر بسته‌ها را به سمت میزبان حرکت می‌دهد؛ نام فرآیندی که آن‌ها را می‌خواند را نمی‌گوید. صفحه هدایت و سوکت شنونده در مکان‌های مختلفی زندگی می‌کنند، به همین دلیل یک قانون می‌تواند به ماشینی اشاره کند که دیگر سرویس را اجرا نمی‌کند. برای فهمیدن اینکه واقعاً چه چیزی پاسخ می‌دهد، روی میزبان نگاه کنید: ss -lntup هر سوکت شنونده را همراه با فرآیندی که مالک آن است فهرست می‌کند. سپس آن فرآیند را با یک مؤلفه، یک نسخه و یک مالک تطبیق دهید.

حذف قانونی که به یاد دارید ساخته‌اید در را نمی‌بندد. ممکن است یک نگاشت UPnP خودش اضافه شده باشد، یک نشانی IPv6 پس از رفتن ورودی IPv4 قابل دسترس بماند، و روش انتشار دومی روی ماشین دیگری وجود داشته باشد. فهرست نگاشت‌های UPnP روتر و ورودی‌های ایستای آن را بخوانید، سپس از بیرون شبکه آزمایش کنید.

ورود به سیستم مجوز LAN نیست

تونل تعیین می‌کند چه کسی می‌تواند متصل شود؛ منابع تعیین می‌کنند کلاینت متصل چه چیزی را می‌تواند باز کند. راهنمای اعتماد صفر NIST همان تفکیک را در مقیاس شبکه انجام می‌دهد: یک نشانی هیچ چیزی درباره مجوز اثبات نمی‌کند. به یک لپ‌تاپ ثبت‌شده یک وظیفه بدهید، مثلاً خواندن یک اشتراک فایل روی میزبان نام‌دار، و آن جفت را بنویسید. نشانی تونل نباید دسترسی مدیر به بقیه خانه را به ارث ببرد.

مسیرهایی را هم بررسی کنید که خلاصه کنار می‌گذارد: ترافیک کلاینت به کلاینت، عضویت در پل، هدایت اینترنت و ترجمه مبدأ. هر یک می‌تواند دو سیستمی را به هم وصل کند که وظیفه نوشته‌شده شما هرگز به آن‌ها اشاره نمی‌کند. آن‌هایی را که وظیفه نیاز ندارد خاموش کنید، سپس فهرست کنید کلاینت هنوز به چه چیزی می‌رسد.

یک اسکن پاک بسیار کم اثبات می‌کند

درگاه باز واقعیتی درباره یک نشانی و یک پروتکل است؛ ورود موفق واقعیتی درباره یک اعتبارنامه است. هیچ‌کدام نمی‌گوید بعد چه اتفاقی می‌افتد. عملیات مورد نظر را روی میزبان مورد نظر آزمایش کنید، سپس هویتی را امتحان کنید که هرگز ثبت نشده، سرویسی که هیچ‌کس تأیید نکرده، و رابط مدیریتی که باید خصوصی بماند. آخرین آزمایش معمولاً همان است که شکست می‌خورد.

هر دو خانواده نشانی و هر مسیری را که منتشر می‌کنید آزمایش کنید. اسکن نشانی IPv4 هیچ چیزی درباره سرویس IPv6 شنونده نمی‌گوید، و آزمایش داخلی نمی‌تواند مشکل حلقه بازگشتی NAT یا فیلتر بالادست را ببیند. دست‌کم یک بررسی از بیرون اجرا کنید، روی اتصالی که از همان روتر بازنمی‌گردد.

مواجهه را بنویسید

یک جدول کوتاه بررسی را به چیزی تبدیل می‌کند که نفر بعدی می‌تواند حسابرسی کند. آن را از بیرون به داخل پر کنید، یک ردیف برای هر سرویس قابل دسترس، و آن را همراه پیکربندی نگه دارید، نه در رشته گفتگو. اگر ردیفی مالک ندارد، این یک یافته است.

ردیف‌هایی که فقط می‌گویند “VPN” هنوز ردیف نیستند. یک ردیف به سوکت، میزبان، هویت و مقصد نیاز دارد، زیرا این همان چیزی است که حسابرس یا مهاجم آزمایش می‌کند.

پیش از نیاز، بازنشستگی را برنامه‌ریزی کنید

تونلی که نمی‌توانید لغو کنید یک در دائمی است. از پیش تصمیم بگیرید چگونه اعتبارنامه یک دستگاه را پس بگیرید، یک نشست زنده را پایان دهید و دسترسی را پس از خراب شدن سرویس با یک ارتقا بازگردانید. مسیر بازیابی‌ای نگه دارید که از تونل عبور نمی‌کند، زیرا تونل همان چیزی است که تعمیر خواهید کرد. آن را جایی ذخیره کنید که بدون آن ماشین به آن برسید.

بررسی زمانی تمام می‌شود که مقصد مورد نظر کار کند و مقصدهای ناخواسته کار نکنند. این تضمینی برای نبود آسیب‌پذیری نیست، و برچسب سبز یک اسکنر جای هیچ‌یک از این دو را نمی‌گیرد. جدول و یادداشت بازیابی را به هر کسی که این راه‌اندازی را به ارث می‌برد تحویل دهید.