פרסום VPN ביתי: מה באמת אתם חושפים
פתחתם פורט אחד, לא שירות אחד. בדקו בנפרד את המאזין הציבורי, הלקוח המאושר והמשאבים הפרטיים לפני שאתם סומכים על המנהרה.
אתם מפנים פורט אחד למנהרה ואומרים לעצמכם שהשינוי מוגבל. בפועל הפורט רק מקבל מנות; מה שנמצא מאחוריו הוא החשיפה. שלושה דברים קובעים את החשיפה: השקע שמאזין בצד הציבורי, הזהות שהמנהרה מקבלת והיעדים שהזהות הזו יכולה להגיע אליהם לאחר מכן. כל אחד צריך תשובה משלו, כי בחירה זהירה באחד אינה מגבילה את האחרים.
הפניית פורט אינה שירות
כלל נתב מעביר מנות לכיוון מארח; הוא אינו נוקב בשם התהליך שקורא אותן. דף ההפניה והשקע שמאזין חיים במקומות שונים, ולכן כלל יכול להצביע על מכונה שאינה מריצה עוד את השירות. כדי לגלות מה באמת עונה, הסתכלו על המארח: ss -lntup מפרט כל שקע מאזין יחד עם התהליך שבבעלותו. לאחר מכן התאימו את התהליך לרכיב, לגרסה ולבעלים.
הסרת הכלל שאתם זוכרים שיצרתם אינה סוגרת את הדלת. מיפוי UPnP אולי הוסיף את עצמו, כתובת IPv6 יכולה להישאר נגישה לאחר שהרשומה של IPv4 נעלמה, ושיטת פרסום שנייה יכולה להתקיים במכונה אחרת. קראו את רשימת מיפויי UPnP של הנתב וגם את הרשומות הסטטיות שלו, ואז בדקו מחוץ לרשת.
התחברות אינה הרשאת LAN
המנהרה מחליטה מי רשאי להתחבר; המשאבים מחליטים מה לקוח מחובר רשאי לפתוח. ההנחיה של NIST לאמון אפס עושה את אותו פיצול בקנה מידה רשתי: כתובת אינה מוכיחה דבר על הרשאה. תנו למחשב נייד רשום משימה אחת, כמו קריאת שיתוף קבצים במארח בשם, ורשמו את הצמד הזה. כתובת מנהרה לא צריכה לרשת גישת מנהל לשאר הבית.
בדקו גם את הנתיבים שסיכום משמיט: תעבורה מלקוח ללקוח, חברות בגשר, העברה לאינטרנט ותרגום מקור. כל אחד יכול לחבר שתי מערכות שהמשימה הכתובה שלכם אינה מזכירה. כבו את אלה שהמשימה אינה צריכה, ואז פרטו למה הלקוח עדיין יכול להגיע.
סריקה נקייה מוכיחה מעט מאוד
פורט פתוח הוא עובדה על כתובת אחת ופרוטוקול אחד; התחברות מוצלחת היא עובדה על אישור אחד. אף אחד מהם אינו אומר מה יקרה לאחר מכן. בדקו את הפעולה המיועדת במארח המיועד, ואז נסו זהות שמעולם לא נרשמה, שירות שאיש לא אישר וממשק הניהול שאמור להישאר פרטי. הבדיקה האחרונה היא בדרך כלל זו שנכשלת.
בדקו את שתי משפחות הכתובות וכל נתיב שאתם מפרסמים. סריקה של כתובת IPv4 אינה אומרת דבר על שירות IPv6 שמאזין, ובדיקה פנימית אינה יכולה לראות בעיית לולאת NAT או מסנן במעלה הזרם. הריצו לפחות בדיקה אחת מבחוץ, על חיבור שאינו חוזר דרך אותו נתב.
כתבו את החשיפה
טבלה קצרה הופכת את הסקירה למשהו שהאדם הבא יכול לבקר. מלאו אותה מבחוץ פנימה, שורה אחת לכל שירות נגיש, ושמרו אותה עם התצורה, לא בשרשור צ'אט. אם לשורה אין בעלים, זו ממצא.
| Public address and port | Receiving host | Process on the socket | Intended actor | Who may reach it |
|---|---|---|---|---|
| 203.0.113.10:51820 | nas | wg-quick@wg0 | my laptop | enrolled peers only |
שורות שאומרות רק “ה-VPN” אינן שורות עדיין. שורה צריכה את השקע, המארח, הזהות והיעד, כי זה מה שמבקר או תוקף היה בודק.
תכננו את הפרישה לפני שתזדקקו לה
מנהרה שאינכם יכולים לבטל היא דלת קבועה. החליטו מראש כיצד לבטל אישור התקן, לסיים הפעלה חיה ולשחזר גישה לאחר שעדכון שובר את השירות. שמרו נתיב התאוששות שאינו עובר במנהרה, כי המנהרה היא מה שתתקנו. אחסנו אותו במקום שאפשר להגיע אליו בלי המכונה הזו.
הסקירה מסתיימת כשהיעד המיועד עובד ואלה שאינם רצויים לא. זו אינה ערובה שאין פגיעות, ותווית ירוקה של סורק אינה מחליפה אף אחד מהם. מסרו את הטבלה ואת הערת השחזור למי שיירש את ההתקנה.