In thús-VPN publisearje: wat jo echt bleatstelle

Jo stjoere ien poarte foar de tunnel troch en sizze tsjin josels dat de feroaring beheind is. Yn 'e praktyk lit de poarte allinnich pakketten troch; wat derachter sit, is de bleatstelling. Trije dingen bepale dy bleatstelling: de socket dy't oan 'e iepenbiere kant lústeret, de identiteit dy't de tunnel akseptearret, en de bestimmingen dy't dy identiteit dan berikke kin. Elk hat syn eigen antwurd nedich, want in soarchfâldige kar yn ien beheint de oaren net.

Trochstjoering fan in poarte is gjin tsjinst

In routerregel ferpleatst pakketten nei in host; hy neamt it proses dat se lêst net. De trochstjoeringsside en de lústerjende socket libje op ferskate plakken, dêrom kin in regel nei in masine wize dy't de tsjinst net mear rint. Om út te finen wat echt antwurdet, sjoch op 'e host: ss -lntup listet elke lústerjende socket mei it proses dat der eigen oan is. Keppelje dat proses dan oan in komponint, in ferzje en in eigner.

It fuortheljen fan 'e regel dy't jo jo herinnerje makke te hawwen, slút de doar net. In UPnP-mapping kin himsels tafoege hawwe, in IPv6-adres kin berikber bliuwe nei't de IPv4-ynfier fuort is, en in twadde publikaasjemetoade kin op in oare masine bestean. Lês de UPnP-mappinglist fan 'e router en syn statyske ynfierren, testje dan fan bûten it netwurk.

Oanmelding is gjin LAN-tastimming

De tunnel beslút wa't ferbine mei; de boarnen beslute wat in ferbûn klient iepenje kin. De nulfertrouwensgids fan NIST makket deselde skieding op netwurkskaal: in adres bewissiget neat oer autorisaasje. Jou ien registrearre laptop ien taak, lykas it lêzen fan in bestandieling op in neamde host, en skriuw dat pear op. In tunneladres moat gjin administratorstagonk foar de rest fan it hûs ervje.

Undersykje ek de paden dy't in gearfetting weilitten: ferkear fan klient nei klient, brêgelidmaatskip, ynternet-trochstjoering en boarnfertaalling. Elk kin twa systemen ferbine dy't jo skreaune taak nea neamt. Skeakelje de ien út dy't de taak net nedich hat, list dan op wat de klient noch berikke kin.

In skjinne scan bewiist heul weinig

In iepen poarte is in feit oer ien adres en ien protokol; in suksesfolle oanmelding is in feit oer ien bewiis. Gjin fan beide seit wat der folgjende bart. Test de bedoelde operaasje op 'e bedoelde host, besykje dan in identiteit dy't nea registrearre is, in tsjinst dy't nimmen goedkard hat, en de behearinterface dy't privee bliuwe moat. De lêste test is meastentiids dejinge dy't mislearret.

Test beide adresfamyljes en elk paad dat jo publisearje. In scan fan it IPv4-adres seit neat oer in lústerjende IPv6-tsjinst, en in ynterne test kin in NAT-lusprobleem of in filter boppestreams net sjen. Rin op syn minst ien kontrôle fan bûten, op in ferbining dy't net troch deselde router weromkomt.

Skriuw de bleatstelling op

In koarte tabel makket de resinsje wat de folgjende persoan auditearje kin. Folje it fan bûten nei binnen, ien rige per berikbere tsjinst, en hâld it by de konfiguraasje, net yn in chatthread. As in rige gjin eigner hat, is dat in befinning.

Rigen dy't allinnich “de VPN” sizze, binne noch gjin rigen. In rige hat de socket, de host, de identiteit en de bestimming nedich, want dat is wat in auditor of oanfaller testen soe.

Plan de ôftanking foardat jo it nedich hawwe

In tunnel dy't jo net ynlûke kinne, is in permaninte doar. Beslút foarôf hoe't jo in apparaatbewiis ynlûke, in live sesje einigje en tagong werstelle nei't in upgrade de tsjinst brekt. Hâld in herstelrûte dy't net troch de tunnel giet, want de tunnel is wat jo reparearje sille. Bewarje it dêr't jo it sûnder dy masine berikke kinne.

De resinsje is klear as de bedoelde bestimming wurket en de net-winske net. It is gjin garânsje dat d'r gjin kwetsberens is, en in grien label fan in scanner ferfangt net ien fan beide. Jouk de tabel en de herstelnotysje oan wa't de opstelling erft.