VPN doméstica para amigos: comparte a saída, non a LAN

Dicir que un amigo pode navegar pola túa conexión doméstica non é o mesmo que dicir que pode usar a túa rede doméstica, e o oco entre esas dúas frases contén o NAS, as impresoras, a páxina de administración do router e todos os demais dispositivos da LAN. Cada arranxo necesita as súas propias regras de reenvío. A maioría dos incidentes de VPN compartida dos que oio falar non son ataques exóticos; son un convidado que chegou a algo porque ninguén anotou que límite se estaba a comprar. Decide que contrato ofreces e despois exprésao na política de reenvío e acceso, non nunha mensaxe.

Dous contratos que soan igual

Só internet significa que o tráfico do cliente convidado sae pola túa conexión e nada máis. Acceso completo significa que ese mesmo cliente tamén se une á túa rede local, e ese segundo contrato inclúe en silencio o primeiro, e así é como a xente cae nel. A diferenza redúcese a un puñado de regras de reenvío, e tamén é a diferenza entre compartir ancho de banda e compartir unha casa. Escribe o contrato antes de tocar a devasa, porque unha regra que engades despois é máis fácil de xustificar que de quitar.

Escolle o contrato só de internet a non ser que alguén necesite de verdade un servizo na LAN, porque unha regra que nunca escribiches é un permiso que nunca concediches. Despois comproba que contrato implementa o software do cliente, porque un valor predeterminado de túnel completo pode entregar en silencio o máis amplo.

Fronteira un: a rede do fogar

O tráfico de convidados non ten nada que facer nas redes do fogar. Unha subrede VPN separada ou un segmento de aloxamento dedicado fan que esa política sexa máis fácil de expresar, pero o nome distinto non impón nada por si só. Nomea o dispositivo que realmente move os paquetes e mantén alí as regras de cruce, porque unha regra escrita nunha máquina que non reenvía é decoración. Cando a VPN se executa no router, ese punto de aplicación é a propia cadea de reenvío do router.

Unha rede de convidados con illamento de clientes é unha alternativa razoable, sempre que os clientes da VPN aterren realmente nela. Ambos os deseños necesitan a mesma proba desde un cliente e non desde a consola.

Fronteira dous: o anfitrión e os demais convidados

Os clientes necesitan o servizo VPN e nada máis na máquina que o executa, así que o acceso de xestión segue a ser un permiso aparte. É o que máis a miúdo se concede por accidente, porque o oínte do túnel e a interface de administración están na mesma caixa. Se a VPN remata no router, o porto do túnel e a interface web ou SSH son suxeitos distintos e merecen regras distintas. Unha regra que protexe unha páxina de inicio de sesión nunca debe lerse como unha prohibición de reenviar.

O acceso a internet tampouco require permitir que un cliente convidado chegue a outro. Os grupos de acceso remoto adoitan comportarse como un segmento compartido se non dis o contrario, así que fai explícita a decisión na configuración do grupo. Para un puñado de amigos, o illamento é o valor predeterminado que paga a pena escoller.

Traza as rutas antes de escribir regras

Un dispositivo autónomo ten dous conxuntos separados de paquetes que vixiar: os que rematan nel e os que retransmite en nome dun cliente. As directrices de rede da CISA tratan as rutas de entrada, de saída e entre redes como acceso que necesita xustificación, que é o marco correcto aquí. Enumera os prefixos do fogar tal como son, IPv4 e IPv6 ambos, porque un bloque só de IPv4 deixa un fogar que tamén encamiña IPv6 completamente aberto na mesma fronteira. Despois decide como obteñen DNS os clientes e se algunha excepción do resolutor expón só o servizo previsto.

Son requisitos e non unha receita universal, porque as regras dependen de onde remata a VPN e onde ocorre a tradución. Evita engadir un permiso amplo só para que a primeira petición do navegador teña éxito.

Que asumes e como probalo

Compartir unha saída crea un rol operativo. Invita a xente a través do modelo de identidade do servizo, fai práctica a retirada, mantén o anfitrión e o router e decide canto da túa subida pode usar o servizo. As peticións saen do teu enderezo, así que as queixas e os problemas de reputación chegan á túa porta aínda que non se tocase ningún dispositivo privado. Un deseño técnico de illamento non di nada sobre a posición legal, e restrinxir o tráfico a portos web habituais non fai inofensiva toda actividade permitida.

Despois proba as denegacións cun cliente autorizado e non desde a consola do router. Cada unha destas debe cumprirse:

• O acceso a internet funciona desde o túnel de convidado.
• O NAS e as impresoras rexéitanse por enderezo e por nome.
• A administración do router rexéitase desde o enderezo do túnel.
• Un segundo cliente convidado non é accesible.
• Quitar a autorización do cliente remata realmente co acceso.

Se o propietario non pode manter esas fronteiras e as tarefas operativas, entregar un ficheiro de configuración subestima o que o arranxo lle pide. Esa é a descrición honesta do servizo, e pertence á mensaxe que viaxa coa configuración.