Kotiverkon VPN:n julkaiseminen: mitä todella paljastat

Ohjaat tunnelille yhden portin ja vakuutat itsellesi, että muutos on rajattu. Käytännössä portti päästää läpi vain paketteja; sen takana oleva asia on paljastus. Kolme asiaa määrää paljastuksen: julkisella puolella kuunteleva socket, identiteetti, jonka tunneli hyväksyy, ja kohteet, joihin tämä identiteetti voi sen jälkeen päästä. Jokainen tarvitsee oman vastauksensa, koska huolellinen valinta yhdessä ei rajoita muita.

Portin edelleenohjaus ei ole palvelu

Reitittimen sääntö siirtää paketteja kohti isäntää; se ei nimeä prosessia, joka lukee ne. Edelleenohjaussivu ja kuunteleva socket elävät eri paikoissa, siksi sääntö voi osoittaa koneeseen, joka ei enää aja palvelua. Saadaksesi selville, mikä todella vastaa, katso isännältä: ss -lntup luettelee jokaisen kuuntelevan socketin ja sen omistavan prosessin. Yhdistä sitten prosessi komponenttiin, versioon ja omistajaan.

Muistamasi säännön poistaminen ei sulje ovea. UPnP-määritys on voinut lisätä itsensä, IPv6-osoite voi pysyä tavoitettavana, kun IPv4-merkintä on poistunut, ja toinen julkaisutapa voi olla toisella koneella. Lue reitittimen UPnP-määrityslista ja sen staattiset merkinnät ja testaa sitten verkon ulkopuolelta.

Kirjautuminen ei ole LAN-oikeus

Tunneli päättää, kuka saa yhdistää; resurssit päättävät, mitä yhdistetty asiakas voi avata. NIST:n nollaluottamuksen ohje tekee saman jaon verkon mittakaavassa: osoite ei todista mitään valtuutuksesta. Anna yhdelle rekisteröidylle kannettavalle yksi tehtävä, kuten tiedostojakoon lukeminen nimetyllä isännällä, ja kirjoita pari muistiin. Tunneliosoitteen ei pitäisi periä järjestelmänvalvojan käyttöoikeutta muuhun taloon.

Tarkista myös polut, jotka yhteenveto jättää pois: asiakas-asiakas-liikenne, sillan jäsenyys, internet-edelleenohjaus ja lähdekäännös. Jokainen voi yhdistää kaksi järjestelmää, joita kirjallinen tehtäväsi ei koskaan mainitse. Kytke pois ne, joita tehtävä ei tarvitse, ja luettele sitten, mihin asiakas voi vielä päästä.

Puhdas skannaus todistaa hyvin vähän

Avoin portti on tosiasia yhdestä osoitteesta ja yhdestä protokollasta; onnistunut kirjautuminen on tosiasia yhdestä tunnisteesta. Kumpikaan ei kerro, mitä seuraavaksi tapahtuu. Testaa aiottu toiminto aiotulla isännällä, kokeile sitten identiteettiä, jota ei koskaan rekisteröity, palvelua, jota kukaan ei hyväksynyt, ja hallintaliittymää, jonka pitäisi pysyä yksityisenä. Viimeinen testi on yleensä se, joka epäonnistuu.

Testaa molemmat osoiteperheet ja jokainen polku, jonka julkaiset. IPv4-osoitteen skannaus ei kerro mitään kuuntelevasta IPv6-palvelusta, eikä sisäinen testi näe NAT-silmukan ongelmaa tai ylävirran suodatinta. Aja ainakin yksi tarkistus ulkopuolelta yhteydellä, joka ei palaa saman reitittimen kautta.

Kirjoita paljastus muistiin

Lyhyt taulukko tekee tarkistuksesta jotain, jonka seuraava henkilö voi auditoida. Täytä se ulkoa sisäänpäin, yksi rivi kutakin tavoitettavissa olevaa palvelua kohti, ja pidä se kokoonpanon yhteydessä, ei chat-ketjussa. Jos rivillä ei ole omistajaa, se on löydös.

Rivit, jotka sanovat vain “VPN”, eivät ole vielä rivejä. Rivi tarvitsee socketin, isännän, identiteetin ja kohteen, koska juuri sitä auditoija tai hyökkääjä testaisi.

Suunnittele käytöstä poisto ennen kuin tarvitset sitä

Tunneli, jota et voi peruuttaa, on pysyvä ovi. Päätä etukäteen, miten laitteen tunniste peruutetaan, live-istunto lopetetaan ja käyttöoikeus palautetaan, kun päivitys rikkoo palvelun. Pidä palautusreitti, joka ei kulje tunnelin kautta, koska tunneli on se, mitä korjaat. Säilytä se paikassa, johon pääset ilman sitä konetta.

Tarkistus on valmis, kun aiottu kohde toimii eivätkä ei-toivotut toimi. Se ei ole tae siitä, ettei haavoittuvuutta ole, eikä skannerin vihreä merkintä korvaa kumpaakaan. Luovuta taulukko ja palautusmuistio sille, joka perii asennuksen.