Thús-VPN foar freonen: diel de útgong, net it LAN

Sizze dat in freon troch jo thúsferbining browse kin, is net itselde as sizze dat hy jo thúsnetwurk brûke kin, en de kleau tusken dy beide sinnen befettet de NAS, de printers, de admin-side fan 'e router en elk oar apparaat op it LAN. Elke regeling hat syn eigen trochstjoerregels nedich. De measte foarfallen mei dielde VPN dêr't ik fan hear binne gjin eksoatyske oanfallen; it is in gast dy't earne by kaam om't nimmen opskreaun hie hokker grins kocht wurdt. Beslis hokker kontrakt jo biede, en druk it dan út yn trochstjoer- en tagongsbelied, net yn in berjocht.

Twa kontrakten dy't itselde klinke

Allinnich ynternet betsjut dat it ferkear fan 'e útnûge klant troch jo ferbining fuortgiet en neat fierder. Folle tagong betsjut dat deselde klant him ek by jo lokale netwurk jout, en dat twadde kontrakt befettet stilwei it earste, en sa glide minsken der yn. It ferskil komt del op in hantsje fol trochstjoerregels, en it is ek it ferskil tusken banbreedte diele en in hûs diele. Skriuw it kontrakt op foardat jo de firewall oanreitsje, want in regel dy't jo letter tafoegje is makliker te rjochtfeardigjen as fuort te heljen.

Kies it kontrakt allinnich-ynternet, útsein as immen wier in LAN-tsjinst nedich hat, want in regel dy't jo nea skreaun hawwe is in tastimming dy't jo nea jûn hawwe. Kontrolearje dan hokker kontrakt de klantsoftware ymplemintearret, want in standertynstelling foar folsleine tunnel kin stilwei de bredere leverje.

Grins ien: it thúsnetwurk

Gastferkear hat hielendal neat te dwaan op 'e thúsnetwurken. In apart VPN-subnet of in eigen hostingsegmint makket dat belied makliker út te drukken, mar de oare namme twingt op himsels neat ôf. Neam it apparaat dat de pakketten wier ferpleatst en hâld de oerstekregels dêr, want in regel skreaun op in masine dy't net trochstjoert is fersiering. As de VPN op 'e router draait, is dat hanthaveningspunt de eigen trochstjoerkeatling fan 'e router.

In gastnetwurk mei kliïntisolaasje is in ridlik alternatyf, mits de VPN-klanten der wier op lânje. Beide ûntwerpen hawwe deselde test fan in klant nedich, net fan 'e konsole.

Grins twa: de host en de oare gasten

Klanten hawwe de VPN-tsjinst nedich en neat oars op 'e masine dy't it draait, dus bestjoerstagong bliuwt in aparte tastimming. It is dy't it meast by ûngelok jûn wurdt, om't de tunnelharker en de behearinterface op itselde kastje sitte. As de VPN op 'e router einiget, binne de tunnelpoarte en de web- of SSH-interface ferskillende ûnderwerpen en fertsjinje ferskillende regels. In regel dy't in oanmeldside beskermet moat nea lêzen wurde as in ferbod op trochstjoeren.

Ynternettagong freget ek net om ien útnûge klant in oare berikke te litten. Opôfstân-tagongpools gedrage har faak as in dield segmint, útsein as jo oars sizze, dus meitsje it beslút eksplisyt yn 'e poolkonfiguraasje. Foar in hantsje fol freonen is isolaasje de standert dy't it wurdich is te kiezen.

Yntekenje de paden foardat jo regels skriuwe

In selsstannich apparaat hat twa aparte sets pakketten te beweiljen: dy't op him einigje en dy't er út namme fan in klant trochstjoert. De netwurkrjochtlinen fan CISA behannelje ynkommende, útgeande en tuskennetwurk-paden as tagong dy't rjochtfeardiging nedich hat, en dat is hjir it juste ramt. List de thúsprefiksen sa't se wier binne, IPv4 en IPv6 beide, want in blok allinnich foar IPv4 lit in húshâlding dy't ek IPv6 rûtelet folslein iepen op deselde grins. Beslis dan hoe't klanten DNS krije en oft in útsûndering fan 'e resolver allinnich de bedoelde tsjinst bleatleit.

Dit binne easken en gjin universeel resept, want de regels ôfhingje fan wêr't de VPN einiget en wêr't oersetting plakfynt. Foarkom it tafoegjen fan in brede tastimming allinnich om it earste browserfersyk slagje te litten.

Wat jo op jo nimme, en hoe't jo it testen

In útgong diele skept in operasjonele rol. Noadigje minsken fia it identiteitsmodel fan 'e tsjinst, meitsje it fuortheljen praktysk, hâld de host en router ûnderhâlden en beslis hoefolle fan jo upload de tsjinst brûke mei. Fersiken ferlitte jo adres, dus klachten en reputaasjeproblemen komme by jo doar, sels as gjin prive-apparaat oanrekke is. In technysk isolaasje-ûntwerp seit neat oer de juridyske posysje, en ferkear beheine ta gewoane webpoarten makket net elke tastiene aktiviteit ûngefearlik.

Test dan de wegeringen mei in autorisearre klant, net fan 'e routerkonsole. Elk fan dizze moat jilde:

• Ynternettagong wurket fan 'e gasttunnel.
• NAS en printers wurde wegere op adres en op namme.
• Routerbehear wurdt wegere fan it tunneladres.
• In twadde útnûge klant is net berikber.
• It fuortheljen fan 'e autorisaasje fan 'e klant einiget wier de tagong.

As de eigner dy grinzen en de operasjonele taken net ûnderhâlde kin, ûnderskat it oerlangjen fan in konfiguraasjebestân wat de regeling fan him freget. Dat is de earlike beskriuwing fan 'e tsjinst, en it heart yn it berjocht dat mei de konfiguraasje reizget.