Koti-VPN ystäville: jaa ulospääsy, älä lähiverkkoa

Sen sanominen, että ystävä voi selata kotiyhteytesi kautta, ei ole sama kuin se, että hän voi käyttää kotiverkkoasi, ja näiden kahden lauseen väliin mahtuvat NAS, tulostimet, reitittimen hallintasivu ja kaikki muut lähiverkon laitteet. Jokainen järjestely tarvitsee omat edelleenohjaussääntönsä. Useimmat kuulemani jaetun VPN:n tapaukset eivät ole eksoottisia hyökkäyksiä; kyse on vieraasta, joka pääsi johonkin, koska kukaan ei kirjoittanut muistiin, mitä rajaa ostetaan. Päätä, mitä sopimusta tarjoat, ja ilmaise se sitten edelleenohjaus- ja käyttöoikeuskäytännössä, älä viestissä.

Kaksi sopimusta, jotka kuulostavat samalta

Vain internet tarkoittaa, että kutsutun asiakkaan liikenne lähtee yhteytesi kautta eikä mene pidemmälle. Täyskäyttö tarkoittaa, että sama asiakas liittyy myös paikallisverkkoosi, ja tämä toinen sopimus sisältää hiljaisesti ensimmäisen, ja niin ihmiset luisuvat siihen. Ero tiivistyy kouralliseen edelleenohjaussääntöjä, ja se on myös ero kaistan jakamisen ja talon jakamisen välillä. Kirjoita sopimus muistiin ennen kuin kosket palomuuriin, koska myöhemmin lisätty sääntö on helpompi perustella kuin poistaa.

Valitse vain internet -sopimus, ellet todella tarvitse LAN-palvelua, koska sääntö, jota et koskaan kirjoittanut, on lupa, jota et koskaan antanut. Tarkista sitten, minkä sopimuksen asiakasohjelmisto toteuttaa, koska täystunnelin oletus voi hiljaisesti tarjota laajemman.

Raja yksi: kotiverkko

Vierasliikenteellä ei ole mitään asiaa kotiverkkoihin. Erillinen VPN-aliverkko tai oma isännöintisegmentti tekee tämän käytännön ilmaisemisesta helpompaa, mutta eri nimi ei sinänsä pakota mitään. Nimeä laite, joka todella siirtää paketit, ja pidä risteyssäännöt siellä, koska säännöt koneella, joka ei edelleenohjaa, ovat koriste. Kun VPN pyörii reitittimellä, tuo valvontapiste on reitittimen oma edelleenohjausketju.

Vierasverkko asiakaseristyksellä on kohtuullinen vaihtoehto, edellyttäen että VPN-asiakkaat todella laskeutuvat siihen. Molemmat mallit tarvitsevat saman testin asiakkaalta, eivät konsolilta.

Raja kaksi: isäntäkone ja muut vieraat

Asiakkaat tarvitsevat VPN-palvelun eivätkä mitään muuta koneella, joka sitä pyörittää, joten hallintakäyttö pysyy erillisenä lupana. Se on se, joka useimmin myönnetään vahingossa, koska tunnelin kuuntelija ja hallintaliittymä ovat samassa laatikossa. Jos VPN päättyy reitittimelle, tunneliportti ja web- tai SSH-liittymä ovat eri subjekteja ja ansaitsevat eri säännöt. Sääntöä, joka suojaa kirjautumissivua, ei pitäisi koskaan lukea edelleenohjauksen kieltona.

Internetyhteys ei myöskään edellytä, että yksi kutsuttu asiakas saa yhteyden toiseen. Etäkäyttöaltaat käyttäytyvät usein jaettuna segmenttinä, ellet toisin sano, joten tee päätöksestä selvä altaan kokoonpanossa. Kouralliselle ystäviä eristys on oletus, joka kannattaa valita.

Kartoita polut ennen sääntöjen kirjoittamista

Itsenäisellä laitteella on kaksi erillistä pakettijoukkoa valvottavana: ne, jotka päättyvät siihen, ja ne, jotka se välittää asiakkaan puolesta. CISAn verkko-ohjeet kohtelevat saapuvia, lähteviä ja verkkojen välisiä polkuja käyttönä, joka vaatii perustelun, ja se on tässä oikea kehys. Listaa kodin etuliitteet sellaisina kuin ne ovat, sekä IPv4 että IPv6, koska vain IPv4:n estävä sääntö jättää kodin, joka reitittää myös IPv6:n, täysin avoimeksi samalla rajalla. Päätä sitten, miten asiakkaat saavat DNS:n ja paljastaako jokin resolverin poikkeus vain aiottu palvelu.

Nämä ovat vaatimuksia eivätkä yleinen resepti, koska säännöt riippuvat siitä, mihin VPN päättyy ja missä käännös tapahtuu. Vältä laajan luvan lisäämistä vain siksi, että ensimmäinen selainpyyntö onnistuisi.

Mitä otat vastuullesi ja miten se testataan

Ulospääsyn jakaminen luo operatiivisen roolin. Kutsu ihmisiä palvelun identiteettimallin kautta, tee poistamisesta käytännöllistä, pidä isäntäkone ja reititin ylläpidettyinä ja päätä, kuinka paljon lähetyskaistastasi palvelu saa käyttää. Pyynnöt lähtevät osoitteestasi, joten valitukset ja maineongelmat saapuvat ovellesi, vaikka yhteenkään yksityiseen laitteeseen ei koskettaisi. Tekninen eristysratkaisu ei kerro mitään oikeudellisesta asemasta, eikä liikenteen rajaaminen tavallisiin web-portteihin tee jokaisesta sallitusta toiminnasta vaaratonta.

Testaa sitten hylkäykset valtuutetulla asiakkaalla, älä reitittimen konsolilta. Jokaisen seuraavista on pidettävä:

• Internetyhteys toimii vierastunnelista.
• NAS ja tulostimet hylätään osoitteen ja nimen perusteella.
• Reitittimen hallinta hylätään tunnelin osoitteesta.
• Toinen kutsuttu asiakas ei ole tavoitettavissa.
• Asiakkaan valtuutuksen poistaminen todella lopettaa yhteyden.

Jos omistaja ei pysty ylläpitämään näitä rajoja ja operatiivisia velvollisuuksia, kokoonpanotiedoston luovuttaminen aliarvioi sitä, mitä järjestely häneltä vaatii. Se on palvelun rehellinen kuvaus, ja se kuuluu viestiin, joka kulkee kokoonpanon mukana.