Publicar unha VPN doméstica: que expós realmente

Redirixe un porto para o túnel e diche a ti mesmo que o cambio está limitado. Na práctica o porto só admite paquetes; o que está detrás é a exposición. Tres cousas deciden esa exposición: o socket que escoita no lado público, a identidade que acepta o túnel e os destinos que esa identidade pode alcanzar despois. Cada unha necesita a súa propia resposta, porque unha elección coidadosa nunha non limita as outras.

Redirixir un porto non é un servizo

Unha regra do router move paquetes cara a un host; non nomea o proceso que os le. A páxina de redirección e o socket que escoita viven en lugares distintos, por iso unha regra pode apuntar a unha máquina que xa non executa o servizo. Para saber que responde realmente, mira no host: ss -lntup enumera cada socket que escoita co proceso que o posúe. Despois asocia ese proceso a un compoñente, unha versión e un propietario.

Eliminar a regra que recordas crear non pecha a porta. Unha asignación UPnP pode terse engadido soa, un enderezo IPv6 pode seguir sendo accesible despois de que a entrada IPv4 desapareza, e pode existir un segundo método de publicación noutra máquina. Le a lista de asignacións UPnP do router e as súas entradas estáticas, e despois proba desde fóra da rede.

Un inicio de sesión non é un permiso de LAN

O túnel decide quen pode conectarse; os recursos deciden que pode abrir un cliente conectado. A guía de confianza cero de NIST fai a mesma separación a escala de rede: un enderezo non demostra nada sobre a autorización. Dalle a un portátil inscrito unha tarefa, como ler un recurso compartido nun host nomeado, e anota ese par. Un enderezo de túnel non debería herdar acceso de administrador ao resto da casa.

Inspecciona tamén as rutas que omite un resumo: tráfico de cliente a cliente, pertenza á ponte, redirección a internet e tradución de orixe. Cada unha pode unir dous sistemas que a túa tarefa escrita nunca menciona. Desactiva as que a tarefa non necesita e despois enumera a que pode seguir chegando o cliente.

Un escaneo limpo demostra moi pouco

Un porto aberto é un feito sobre un enderezo e un protocolo; un inicio de sesión correcto é un feito sobre unha credencial. Ningún di que ocorre despois. Proba a operación prevista no host previsto, despois proba unha identidade que nunca se inscribiu, un servizo que ninguén aprobou e a interface de xestión que debería seguir sendo privada. A última proba adoita ser a que falla.

Proba ambas as familias de enderezos e cada ruta que publiques. Un escaneo do enderezo IPv4 non di nada sobre un servizo IPv6 que escoita, e unha proba interna non pode ver un problema de bucle NAT nin un filtro anterior. Executa polo menos unha comprobación desde fóra, nunha conexión que non volva polo mesmo router.

Escribe a exposición

Unha táboa breve converte a revisión en algo que a seguinte persoa pode auditar. Enchéna de fóra cara a dentro, unha fila por servizo accesible, e gárdaa coa configuración, non nun fío de chat. Se unha fila non ten propietario, iso é un achado.

As filas que só din “a VPN” aínda non son filas. Unha fila necesita o socket, o host, a identidade e o destino, porque iso é o que probaría un auditor ou un atacante.

Planifica a retirada antes de necesitala

Un túnel que non podes revogar é unha porta permanente. Decide de antemán como retirar unha credencial de dispositivo, rematar unha sesión activa e restaurar o acceso despois de que unha actualización rompa o servizo. Mantén unha ruta de recuperación que non pase polo túnel, porque o túnel é o que vas reparar. Gárdaa onde poidas chegar sen esa máquina.

A revisión termina cando o destino previsto funciona e os non desexados non. Non é unha garantía de que non exista ningunha vulnerabilidade, e a etiqueta verde dun escáner non substitúe ningunha das dúas. Entrega a táboa e a nota de recuperación a quen herde a configuración.