Publier un VPN domestique : ce que vous exposez réellement

Vous redirigez un port pour le tunnel et vous vous dites que le changement est limité. En pratique, le port ne fait qu'admettre des paquets ; ce qui se trouve derrière constitue l'exposition. Trois éléments décident de cette exposition : la socket qui écoute côté public, l'identité que le tunnel accepte et les destinations que cette identité peut ensuite atteindre. Chacun mérite sa propre réponse, car un choix prudent sur l'un ne contraint pas les autres.

Une redirection de port n'est pas un service

Une règle de routeur déplace les paquets vers un hôte ; elle ne nomme pas le processus qui les lit. La page de redirection et la socket à l'écoute vivent à des endroits différents, c'est pourquoi une règle peut viser une machine qui n'exécute plus le service. Pour savoir ce qui répond réellement, regardez sur l'hôte : ss -lntup liste chaque socket à l'écoute avec le processus qui la possède. Associez ensuite ce processus à un composant, une version et un propriétaire.

Supprimer la règle dont vous vous souvenez ne ferme pas la porte. Un mappage UPnP a pu s'ajouter tout seul, une adresse IPv6 peut rester joignable après la disparition de l'entrée IPv4, et une seconde méthode de publication peut exister sur une autre machine. Lisez la liste des mappages UPnP du routeur ainsi que ses entrées statiques, puis testez depuis l'extérieur du réseau.

Une connexion n'est pas une autorisation LAN

Le tunnel décide qui peut se connecter ; les ressources décident ce qu'un client connecté peut ouvrir. Le guide de confiance zéro du NIST opère la même séparation à l'échelle du réseau : une adresse ne prouve rien sur l'autorisation. Donnez à un portable inscrit une tâche, comme lire un partage de fichiers sur un hôte nommé, et notez ce couple. Une adresse de tunnel ne devrait pas hériter d'un accès administrateur au reste de la maison.

Inspectez aussi les chemins qu'un résumé omet : trafic client à client, appartenance au pont, redirection vers internet et traduction de source. Chacun peut relier deux systèmes que votre tâche écrite ne mentionne jamais. Désactivez ceux dont la tâche n'a pas besoin, puis listez ce que le client peut encore atteindre.

Un scan propre prouve très peu

Un port ouvert est un fait sur une adresse et un protocole ; une connexion réussie est un fait sur un identifiant. Ni l'un ni l'autre ne dit ce qui se passe ensuite. Testez l'opération prévue sur l'hôte prévu, puis essayez une identité jamais inscrite, un service que personne n'a approuvé et l'interface d'administration qui devrait rester privée. Le dernier test est généralement celui qui échoue.

Testez les deux familles d'adresses et chaque chemin que vous publiez. Un scan de l'adresse IPv4 ne dit rien d'un service IPv6 à l'écoute, et un test interne ne voit ni un problème de boucle NAT ni un filtre en amont. Lancez au moins une vérification depuis l'extérieur, sur une connexion qui ne revient pas par le même routeur.

Écrivez l'exposition

Un tableau court transforme la revue en quelque chose que la personne suivante peut auditer. Remplissez-le de l'extérieur vers l'intérieur, une ligne par service joignable, et conservez-le avec la configuration, pas dans un fil de discussion. Si une ligne n'a pas de propriétaire, c'est une constatation.

Les lignes qui disent seulement “le VPN” ne sont pas encore des lignes. Une ligne a besoin de la socket, de l'hôte, de l'identité et de la destination, car c'est ce qu'un auditeur ou un attaquant testerait.

Planifiez le déclassement avant d'en avoir besoin

Un tunnel que vous ne pouvez pas révoquer est une porte permanente. Décidez à l'avance comment retirer un identifiant d'appareil, terminer une session active et rétablir l'accès après qu'une mise à jour a cassé le service. Gardez une voie de récupération qui ne passe pas par le tunnel, car le tunnel est ce que vous réparerez. Stockez-la là où vous pouvez y accéder sans cette machine.

La revue est terminée lorsque la destination prévue fonctionne et que les indésirables ne fonctionnent pas. Ce n'est pas une garantie qu'aucune vulnérabilité n'existe, et l'étiquette verte d'un scanner ne remplace ni l'une ni l'autre. Remettez le tableau et la note de récupération à celui qui héritera de l'installation.