મિત્રો માટે ઘરનું VPN: એક્ઝિટ વહેંચો, LAN નહીં

કોઈ મિત્ર તમારા ઘરના કનેક્શન દ્વારા બ્રાઉઝ કરી શકે છે એમ કહેવું એ કહેવા જેવું નથી કે તે તમારા ઘરના નેટવર્કનો ઉપયોગ કરી શકે છે, અને આ બે વાક્યો વચ્ચેના અંતરમાં NAS, પ્રિન્ટર, રાઉટરનું ઍડ્મિન પેજ અને LAN પરનું દરેક બીજું ઉપકરણ સમાયેલું છે। દરેક ગોઠવણને પોતાના ફોર્વર્ડિંગ નિયમોની જરૂર છે। હું જે શેર્ડ VPN ઘટનાઓ સાંભળું છું તેમાંની મોટાભાગની વિચિત્ર હુમલા નથી; એ એક મહેમાન છે જે કંઈક સુધી પહોંચ્યો કારણ કે કોઈએ લખ્યું નહીં કે કઈ સીમા ખરીદવામાં આવે છે। તમે કયો કરાર આપો છો તે નક્કી કરો, પછી તેને સંદેશમાં નહીં, ફોર્વર્ડિંગ અને ઍક્સેસ નીતિમાં વ્યક્ત કરો।

એકસરખા સંભળાતા બે કરાર

ફક્ત ઇન્ટરનેટ એટલે કે આમંત્રિત ક્લાયન્ટનું ટ્રાફિક તમારા કનેક્શનમાંથી નીકળે છે અને વધુ કંઈ નહીં। સંપૂર્ણ ઍક્સેસ એટલે કે એ જ ક્લાયન્ટ તમારા સ્થાનિક નેટવર્કમાં પણ જોડાય છે, અને એ બીજો કરાર ચૂપચાપ પહેલાનો સમાવેશ કરે છે, અને એ રીતે લોકો તેમાં સરકી જાય છે। ફરક થોડા ફોર્વર્ડિંગ નિયમોમાં આવી જાય છે, અને તે બેન્ડવિડ્થ વહેંચવા અને ઘર વહેંચવા વચ્ચેનો ફરક પણ છે। ફાયરવોલને અડકતા પહેલાં કરાર લખો, કારણ કે પછી ઉમેરેલા નિયમને વાજબી ઠેરવવો દૂર કરવા કરતાં સરળ છે।

ફક્ત-ઇન્ટરનેટ કરાર પસંદ કરો, સિવાય કે કોઈને ખરેખર LAN સેવાની જરૂર હોય, કારણ કે તમે ક્યારેય ન લખેલો નિયમ એ પરવાનગી છે જે તમે ક્યારેય આપી નથી। પછી તપાસો કે ક્લાયન્ટ સૉફ્ટવેર કયો કરાર લાગુ કરે છે, કારણ કે ફુલ-ટનલ ડિફૉલ્ટ ચૂપચાપ વિશાળ એક આપી શકે છે।

સીમા એક: ઘરનું નેટવર્ક

મહેમાન ટ્રાફિકનું ઘરના નેટવર્ક પર કોઈ કામ નથી। અલગ VPN સબનેટ કે સમર્પિત હોસ્ટિંગ સેગમેન્ટ એ નીતિ વ્યક્ત કરવી સરળ બનાવે છે, પણ અલગ નામ પોતાની જાતે કંઈ લાગુ કરતું નથી। જે ઉપકરણ ખરેખર પેકેટો ખસેડે છે તેનું નામ આપો અને ક્રોસિંગ નિયમો ત્યાં જ રાખો, કારણ કે ફોર્વર્ડ ન કરતી મશીન પર લખેલો નિયમ શણગાર છે। જ્યારે VPN રાઉટર પર ચાલે છે, ત્યારે એ અમલીકરણ બિંદુ રાઉટરની પોતાની ફોર્વર્ડ ચેઇન છે।

ક્લાયન્ટ આઇસોલેશનવાળું મહેમાન નેટવર્ક વ્યાજબી વિકલ્પ છે, જો VPN ક્લાયન્ટ ખરેખર તેના પર ઉતરે। બંને ડિઝાઇનને કન્સોલમાંથી નહીં, ક્લાયન્ટમાંથી એ જ કસોટીની જરૂર છે।

સીમા બે: હોસ્ટ અને બીજા મહેમાનો

ક્લાયન્ટને VPN સેવાની જરૂર છે અને જે મશીન તેને ચલાવે છે તેના પર બીજું કંઈ નહીં, તેથી સંચાલન ઍક્સેસ અલગ પરવાનગી રહે છે। એ જ સૌથી વધુ અકસ્માતે આપવામાં આવે છે, કારણ કે ટનલ શ્રોતા અને ઍડ્મિન ઇન્ટરફેસ એક જ બૉક્સ પર છે। જો VPN રાઉટર પર સમાપ્ત થાય, તો ટનલ પોર્ટ અને વેબ કે SSH ઇન્ટરફેસ અલગ વિષયો છે અને અલગ નિયમોને લાયક છે। લૉગિન પેજનું રક્ષણ કરતો નિયમ ક્યારેય ફોર્વર્ડિંગ પરની મનાઈ તરીકે વાંચવો જોઈએ નહીં।

ઇન્ટરનેટ ઍક્સેસ માટે પણ એક આમંત્રિત ક્લાયન્ટને બીજા સુધી પહોંચવા દેવાની જરૂર નથી। દૂરસ્થ ઍક્સેસ પૂલ ઘણી વાર શેર્ડ સેગમેન્ટ જેવા વર્તે છે જ્યાં સુધી તમે બીજું ન કહો, તેથી પૂલ રૂપરેખાંકનમાં નિર્ણય સ્પષ્ટ કરો। થોડા મિત્રો માટે, આઇસોલેશન એ પસંદ કરવા લાયક ડિફૉલ્ટ છે।

નિયમો લખતા પહેલાં માર્ગોનો નકશો બનાવો

સ્વતંત્ર ઉપકરણ પાસે દેખરેખ માટે પેકેટોના બે અલગ સેટ હોય છે: જે તેના પર સમાપ્ત થાય છે અને જે તે ક્લાયન્ટ વતી રિલે કરે છે. CISA ની નેટવર્ક માર્ગદર્શિકા ઇનબાઉન્ડ, આઉટબાઉન્ડ અને આંતર-નેટવર્ક માર્ગોને વાજબીપણું જરૂરી હોય એવી ઍક્સેસ તરીકે ગણે છે, અને અહીં એ જ યોગ્ય ઢાંચો છે. ઘરના પ્રીફિક્સ જેવા છે તેવા જ સૂચિબદ્ધ કરો, IPv4 અને IPv6 બંને, કારણ કે ફક્ત IPv4 બ્લોક કરતું નિયમ IPv6 પણ રૂટ કરતા ઘરને એ જ સીમા પર સંપૂર્ણ ખુલ્લું છોડે છે. પછી નક્કી કરો કે ક્લાયન્ટને DNS કેવી રીતે મળે છે અને કોઈ રિઝોલ્વર અપવાદ ફક્ત ઇચ્છિત સેવા જ ખુલ્લી કરે છે કે નહીં।

આ જરૂરિયાતો છે, સાર્વત્રિક રેસીપી નહીં, કારણ કે નિયમો એના પર આધાર રાખે છે કે VPN ક્યાં સમાપ્ત થાય છે અને અનુવાદ ક્યાં થાય છે। ફક્ત પ્રથમ બ્રાઉઝર વિનંતી સફળ થાય તે માટે વિશાળ પરવાનગી ઉમેરવાનું ટાળો।

તમે શું જવાબદારી લો છો, અને તેને કેવી રીતે ચકાસવી

એક્ઝિટ વહેંચવાથી સંચાલન ભૂમિકા બને છે. લોકોને સેવાના ઓળખ મૉડલ દ્વારા આમંત્રણ આપો, દૂર કરવાનું વ્યવહારુ બનાવો, હોસ્ટ અને રાઉટર જાળવી રાખો, અને નક્કી કરો કે સેવા તમારા અપલોડનો કેટલો ઉપયોગ કરી શકે. વિનંતીઓ તમારા સરનામાંથી નીકળે છે, તેથી કોઈ ખાનગી ઉપકરણને અડ્યું ન હોય તો પણ ફરિયાદો અને પ્રતિષ્ઠાની સમસ્યાઓ તમારા દરવાજે આવે છે. ટેકનિકલ આઇસોલેશન ડિઝાઇન કાયદાકીય સ્થિતિ વિશે કંઈ કહેતી નથી, અને ટ્રાફિકને સામાન્ય વેબ પોર્ટ સુધી મર્યાદિત કરવાથી દરેક માન્ય પ્રવૃત્તિ હાનિકારક નથી બનતી।

પછી નકાર રાઉટર કન્સોલમાંથી નહીં, અધિકૃત ક્લાયન્ટથી ચકાસો। નીચેનામાંનું દરેક સાચું હોવું જોઈએ:

• મહેમાન ટનલમાંથી ઇન્ટરનેટ ઍક્સેસ કામ કરે છે।
• NAS અને પ્રિન્ટર સરનામા અને નામ દ્વારા નકારવામાં આવે છે।
• ટનલ સરનામેથી રાઉટર સંચાલન નકારવામાં આવે છે।
• બીજો આમંત્રિત ક્લાયન્ટ પહોંચી શકાય તેવો નથી।
• ક્લાયન્ટની અધિકૃતિ દૂર કરવાથી ઍક્સેસ ખરેખર બંધ થાય છે।

જો માલિક એ સીમાઓ અને સંચાલન ફરજો જાળવી શકતો ન હોય, તો કન્ફિગરેશન ફાઇલ સોંપવી એ ગોઠવણ તેની પાસેથી શું માગે છે તેને ઓછું આંકે છે। એ સેવાનું પ્રામાણિક વર્ણન છે, અને તે કન્ફિગરેશન સાથે જતા સંદેશમાં જ હોવું જોઈએ।