VPN ביתי לחברים: חלקו את היציאה, לא את ה-LAN

VPN אורחים לאינטרנט בלבד וגישה ל-LAN הם מוצרים שונים. הפרידו בין גבולות הבית, המארח והלקוח, ובדקו גם את הסירובים.

לומר שחבר יכול לגלוש דרך החיבור הביתי שלכם אינו אותו דבר כמו לומר שהוא יכול להשתמש ברשת הביתית שלכם, והפער בין שני המשפטים האלה כולל את ה-NAS, את המדפסות, את עמוד הניהול של הנתב וכל מכשיר אחר ב-LAN. כל הסדר זקוק לכללי העברה משלו. רוב תקלות ה-VPN המשותף שאני שומע עליהן אינן התקפות אקזוטיות; מדובר באורח שהגיע למשהו כי אף אחד לא כתב איזה גבול נקנה. החליטו איזה חוזה אתם מציעים, ואז הביעו אותו במדיניות העברה וגישה ולא בהודעה.

שני חוזים שנשמעים אותו דבר

אינטרנט בלבד פירושו שהתעבורה של הלקוח המוזמן יוצאת דרך החיבור שלכם ושום דבר מעבר לכך. גישה מלאה פירושה שאותו לקוח מצטרף גם לרשת המקומית שלכם, והחוזה השני הזה כולל בשקט את הראשון, וכך אנשים מחליקים לתוכו. ההבדל מצטמצם לקומץ כללי העברה, והוא גם ההבדל בין שיתוף רוחב פס לשיתוף בית. כתבו את החוזה לפני שאתם נוגעים בחומת האש, כי כלל שמוסיפים אחר כך קל יותר להצדיק מאשר להסיר.

בחרו בחוזה האינטרנט בלבד אלא אם כן למישהו באמת יש צורך בשירות ב-LAN, כי כלל שמעולם לא כתבתם הוא הרשאה שמעולם לא נתתם. לאחר מכן בדקו איזה חוזה מיישמת תוכנת הלקוח, כי ברירת מחדל של מנהרה מלאה עלולה לספק בשקט את הרחב יותר.

גבול ראשון: רשת הבית

לתעבורת אורחים אין שום עסק ברשתות הבית. תת-רשת VPN נפרדת או מקטע אירוח ייעודי הופכים את המדיניות הזו לקלה יותר לביטוי, אבל השם השונה לא אוכף דבר מעצמו. תנו שם למכשיר שבאמת מזיז את החבילות והשאירו את כללי החצייה שם, כי כלל שנכתב במכונה שאינה מעבירה הוא קישוט. כשה-VPN פועל על הנתב, נקודת האכיפה הזו היא שרשרת ההעברה של הנתב עצמו.

רשת אורחים עם בידוד לקוחות היא חלופה סבירה, בתנאי שהלקוחות של ה-VPN באמת נוחתים עליה. שני העיצובים זקוקים לאותה בדיקה מלקוח ולא מהמסוף.

גבול שני: המארח והאורחים האחרים

לקוחות זקוקים לשירות ה-VPN ושום דבר אחר במכונה שמריצה אותו, ולכן גישת ניהול נשארת הרשאה נפרדת. היא זו שניתנת לרוב בטעות, כי מאזין המנהרה וממשק הניהול יושבים על אותה קופסה. אם ה-VPN מסתיים על הנתב, יציאת המנהרה וממשק האינטרנט או ה-SSH הם נושאים שונים וראויים לכללים שונים. כלל שמגן על עמוד התחברות לא צריך להיקרא לעולם כאיסור על העברה.

גם גישה לאינטרנט אינה מחייבת לאפשר ללקוח מוזמן אחד להגיע לאחר. מאגרי גישה מרחוק מתנהגים לעתים קרובות כמקטע משותף אלא אם תאמרו אחרת, אז הפכו את ההחלטה למפורשת בתצורת המאגר. עבור קומץ חברים, בידוד הוא ברירת המחדל שכדאי לבחור.

מפו את הנתיבים לפני שכותבים כללים

למכשיר עצמאי יש שתי קבוצות נפרדות של חבילות לשמור עליהן: אלה שמסתיימות עליו ואלה שהוא מעביר בשם לקוח. הנחיות הרשת של CISA מתייחסות לנתיבים נכנסים, יוצאים ובין-רשתיים כאל גישה שדורשת הצדקה, וזו המסגרת הנכונה כאן. פרטו את קידומות הבית כפי שהן באמת, IPv4 ו-IPv6 שתיהן, כי חסימה של IPv4 בלבד משאירה בית שמנתב גם IPv6 פתוח לגמרי באותו גבול. אחר כך החליטו איך לקוחות מקבלים DNS והאם חריגה כלשהי של פותר חושפת רק את השירות המיועד.

אלה דרישות ולא מתכון אוניברסלי, כי הכללים תלויים היכן ה-VPN מסתיים והיכן מתרחשת התרגום. הימנעו מהוספת הרשאה רחבה רק כדי שהבקשה הראשונה של הדפדפן תצליח.

מה אתם לוקחים על עצמכם, ואיך לבדוק את זה

שיתוף יציאה יוצר תפקיד תפעולי. הזמינו אנשים דרך מודל הזהות של השירות, הפכו את ההסרה למעשית, תחזקו את המארח ואת הנתב, והחליטו כמה מההעלאה שלכם השירות רשאי להשתמש. הבקשות יוצאות מהכתובת שלכם, ולכן תלונות ובעיות מוניטין מגיעות לדלתכם גם כשלא נגעו בשום מכשיר פרטי. עיצוב בידוד טכני לא אומר דבר על המעמד המשפטי, והגבלת תעבורה לפורטי אינטרנט נפוצים לא הופכת כל פעילות מותרת לבלתי מזיקה.

אחר כך בדקו את הסירובים עם לקוח מורשה ולא ממסוף הנתב. כל אחד מאלה חייב להתקיים:

  • גישה לאינטרנט עובדת מהמנהרה של האורח.
  • ה-NAS והמדפסות נדחים לפי כתובת ולפי שם.
  • הניהול של הנתב נדחה מכתובת המנהרה.
  • לקוח מוזמן שני אינו נגיש.
  • הסרת ההרשאה של הלקוח באמת מסיימת את הגישה.

אם הבעלים לא יכול לתחזק את הגבולות האלה ואת חובות התפעול, מסירת קובץ תצורה ממעיטה במה שההסדר דורש ממנו. זה התיאור הכנה של השירות, והוא שייך להודעה שנוסעת עם התצורה.

מאמרים קשורים